PHP2Shell 漏洞怎麼辦？PHP 修補與網站維護指南

PHP2Shell 相關重大 PHP 漏洞已引起關注。網站經營者現在應先確認主機使用的 PHP、完成可還原備份，並聯絡維護人員安排修補。只更新 WordPress 或外掛，不能代替主機上的 PHP 安全更新。

查核時間：2026 年 10 月 21 日 16:05（台灣時間）。本文為修補發布前的準備指南，受影響版本、修復版本與攻擊條件須以後續官方公告為準。

PHP2Shell 新聞重點：目前確認了什麼？

PHP 安全團隊於 10 月 20 日預告重大安全更新，涉及兩項 CVSS v4.0 分數均為 9.2 的漏洞。原定發布時間是 10 月 21 日 14:00 UTC，也就是台灣時間當晚 22:00；官方保留提前發布的可能，並表示詳細資訊、受影響與修復版本將隨更新公布。PHP 官方安全更新預告。

CERT-EU 的警訊列出 CVE-2026-109618 與 CVE-2026-109619，並提醒組織盤點 PHP 應用、準備修補。其提到的遠端程式碼執行與廣泛版本風險，仍須結合後續細節判定；不能據此宣稱每一個 PHP 網站都能被入侵。CERT-EU 安全警訊。

問題	截至查核時間的狀態
官方是否確認重大漏洞？	是，兩項漏洞，CVSS v4.0 均為 9.2。
什麼時候發布修補？	預定 2026/10/21 台灣時間 22:00，可能提前。
哪些版本確定受影響？	完整範圍待官方發布，不能只憑網路傳言判定。
應升到哪一版？	以正式修復版本，或套件供應商對應安全公告為準。
是否所有網站已被攻擊？	目前資料不足以作此結論；漏洞風險與入侵事實要分開確認。

新聞與社群常以「PHP2Shell」稱呼這波事件。閱讀消息時，應優先確認公告時間與來源，避免把演示影片、推測或未驗證的掃描結果，當成自己網站已遭入侵的證據。

新聞提到的「遠端程式碼執行」，可以理解成攻擊者有機會讓伺服器執行非預期的指令；實際能做什麼，取決於漏洞條件與執行權限，並不等於已取得整台主機最高權限。本文聚焦風險準備，不提供攻擊操作。

PHP 是什麼？為什麼更新 WordPress 還不夠？

可以把網站想成一間店：WordPress 是店裡的營業系統，外掛是加裝的功能，PHP 則像讓這些設備運作的引擎。這次需要關注的是引擎所在的主機環境。

因此，WordPress 後台顯示「已更新」，不代表主機 PHP 已套用本次修補。使用 WordPress、購物網站或客製 PHP 系統的經營者，都應向主機商或維護窗口確認。

PHP 主機更新與網站程式更新，需要分別驗證。網站仍能打開，也不能單靠這點判定沒有風險。

PHP2Shell 現在先做的 5 件事

1. 找到誰負責主機與 PHP

先確認主機商、控制台與維護窗口。共用主機通常由主機商提供更新；VPS、自架主機或雲端虛擬機，則要確認誰管理作業系統與 PHP。不要以為租用 AWS、GCP 或其他雲端主機，就有人自動替你的網站更新 PHP。

WordPress 可從「工具 → 網站狀態 → 資訊 → 伺服器」查看相關資訊，再請管理人員核對實際提供網站服務的環境。多站主機、測試站、舊子網域也要列入盤點。

2. 先備份，並確認可以還原

保存網站程式、資料庫、圖片附件與必要設定，備份需放在原主機以外、權限受控的位置。只有備份成功通知，還不等於能完整還原；請確認可用的備份時間與還原方式。

若已懷疑入侵，應保留異常環境的資料與日誌作為調查依據，並另外辨認可信的乾淨備份，避免把惡意檔案跟著還原。

3. 預約維護時段，先測重要功能

修補公布前，可以先整理更新步驟與回復計畫。需要切換 PHP 分支的舊網站，應先檢查版型、外掛與客製程式相容性。

測試至少包含登入、表單寄信、圖片上傳、付款和背景排程。維護安排應兼顧風險與營運，不宜以等待完整測試為由無限期延後緊急修補。

4. 不能立即修補，就評估暫時限制對外存取

CERT-EU 建議，無法即時處理時，應考慮將對外的應用隔離，直到能修補。實務上可由管理人員評估 VPN、來源限制或暫停非必要服務；具體方式須符合架構和營運需求。CERT-EU 建議。

只顯示一張由 PHP 產生的「維護中」頁面，不代表請求已在到達 PHP 前被阻擋。網路上的臨時設定或 WAF 規則，也不應在沒有供應商驗證前當成完整修補；全面阻擋上傳類請求，還可能讓表單或附件功能失效。

5. 向主機商索取可核對的處理結果

可以直接傳這段詢問：

您好，我們關注 PHP2Shell 相關警訊（CVE-2026-109618／CVE-2026-109619）。請協助確認網站實際使用的 PHP 分支、套件來源與目前修補狀態；正式修補可用後，預計何時部署？是否需要重新啟動 PHP 服務？完成後請提供對應安全公告或套件版本，並告知我們是否需配合測試及維護時段。

修補發布後，怎樣才算更新完成？

以下是一般主機維護的驗證清單，實際執行方式應依正式公告、主機系統及供應商文件調整：

核對安全公告：確認修復版本或作業系統套件確實涵蓋這兩項漏洞。
更新實際執行環境：網頁使用的 PHP、不同版本的 PHP-FPM、容器與其他服務可能分開管理。
讓新版本生效：依供應商指示重啟或重新載入相關服務；容器須確認已重新部署修補映像，不能只下載映像。
驗證網站實際版本：命令列 PHP 版本和網頁服務可能不同，不能只看一次命令列結果。
測試功能並觀察：檢查錯誤紀錄、寄信、付款、排程和資源使用。
留下處理紀錄：記錄更新時間、版本、供應商公告與測試結果。

部分套件供應商會將安全修正回補至既有分支，因此版本號外觀不是唯一依據；應請供應商提供能對應這兩項 CVE 的公告。反過來說，「已是最新版」也要確認是否包含這次修補。

還在使用 PHP 5、PHP 7 或其他舊版本怎麼辦？

PHP 官方支援表截至查核時間列出 8.2、8.3、8.4、8.5 分支；PHP 8.1 與更早分支已結束官方支援。這是支援生命週期資訊，不是本次漏洞的受影響版本清單，也不代表受支援分支在修補前已安全。PHP 支援版本、已停止支援分支。

舊系統若無法直接升級，需要同時安排短期風險控制與程式相容性修正。若主機商提供延伸安全支援，也要確認這次漏洞是否已涵蓋，不能把服務名稱當成修補證明。

網站有異常？更新 PHP 與清理入侵要分開做

陌生管理員、不明程式檔、異常導向、大量寄信、排程被改動或非預期費用，都值得調查，但單一現象不能直接證明是 PHP2Shell 所致。

修補能降低後續利用風險，卻不會自動移除已存在的惡意檔案。懷疑入侵時，應先限制影響範圍、保存日誌與必要證據，再由技術人員檢查檔案、帳號、排程與外部連線；確認環境可信後，再安排必要的憑證更換與還原。

不要為了測試而把來路不明的「漏洞驗證程式」放上正式網站，也不要只刪除看得到的一個檔案，就宣布處理完成。

不確定誰能處理？我們提供主機代管與修正服務

對網站經營者來說，最困難的往往是：知道要更新，卻不知道由誰負責；或舊網站一升級就壞掉，沒有人能接手。

哈拉設計可依現有網站與主機環境，評估以下工作：

環境盤點與修補協調：確認 PHP、主機與網站依賴，協助對接主機商並核對修補狀態。
升級與相容性修正：安排備份、測試、PHP 更新，以及外掛、版型或客製程式的必要調整。
異常檢查與修復：依可取得的日誌與環境評估疑似入侵，規劃清理、還原或重建。
長期主機與網站維護：依方案安排監控、備份、更新與問題處理，減少發生事件時找不到負責人的情況。

是否能承接、處理時段、修復範圍與費用，會在了解環境後確認。單次更新、入侵修復與長期代管是不同工作，不以一次更新保證永久安全。

不知道 PHP 有沒有更新？先讓我們協助評估

提供網站網址、主機商、目前遇到的狀況，以及是否有維護窗口，就能先討論下一步。

聯絡哈拉設計，評估 PHP 修補與主機代管 →

初次詢問不需提供密碼或 API 金鑰，請勿將憑證填入一般表單。

PHP2Shell 常見問題

WordPress 更新到最新版就安全了嗎？

不能據此判定。WordPress 與主機 PHP 是不同層，必須另外確認 PHP 的修補狀態及實際生效環境。

現在應該升級到哪個 PHP 版本？

本文查核時正式修復版本尚待公布。請以 PHP 官方發布資訊或主機套件供應商對應公告為準，不要把測試版或既有最新版當成此次已修復版本。

有 Cloudflare 或 WAF，就不用更新嗎？

仍要安排修補。是否能有效阻擋特定攻擊，取決於規則與架構，不能單憑有使用防護服務就判定安全。

網站看起來正常，也要處理嗎？

要先盤點與核對修補。可正常瀏覽不能證明沒有風險，但也不代表已經被入侵。

更新後網站壞掉怎麼辦？

需依備份與回復計畫處理，並修正相容性問題；若回復到未修補環境，也要同步安排限制存取等風險控制，避免只恢復營運卻留下漏洞。

日常維護可參考 WordPress 官方安全強化指南，將備份、主機更新、權限與日誌檢查納入固定工作。

延伸閱讀與持續查核來源

現在先找出負責人、確認備份和維護安排，正式修補公布後再核對版本與部署結果。如需協助，歡迎聯絡我們討論主機代管、PHP 更新與網站修復。

PHP2Shell 漏洞警訊：WordPress 網站現在該做什麼？