一句話結論：PHP2Shell 是 2026 年 10 月 21 日公開的兩個 PHP 核心漏洞（CVE-2026-109618、CVE-2026-109619），嚴重程度 9.2 分（滿分 10），不需要登入就能從遠端在主機上執行程式，而且已經出現實際攻擊。WordPress 網站最重要的一件事，是確認主機的 PHP 已更新到 8.2.35、8.3.36、8.4.27 或 8.5.12 以上；還停在 7.4、8.0、8.1 的網站沒有官方修補版，應該排入升級。
10 月 21 日晚上，PHP 官方一口氣發布了四個版本的安全更新。隔天開始，資安公司陸續回報有人在網路上大規模掃描、嘗試利用這兩個漏洞。很多老闆收到主機商或工程師的通知，第一個問題都是：「我的網站是 WordPress，這跟我有關係嗎？」答案是有，而且關係很大。這篇用白話說明 PHP2Shell 是什麼、哪些網站受影響，以及你現在就可以確認的 5 件事。
PHP2Shell 是什麼？
PHP 是全世界最多網站使用的程式語言，WordPress、WooCommerce、多數購物車與企業官網都跑在 PHP 上。PHP2Shell 是研究人員替這次兩個漏洞取的名字，意思是「從 PHP 直接拿到主機的指令權限（Shell）」。
用比喻來說：網站就像一棟大樓，WordPress 和外掛是樓裡的各家店面，PHP 則是整棟樓的地基與電梯。這次的問題出在地基，攻擊者不必走進任何一家店（不用登入、不用找外掛漏洞），在大樓門口送出一個特製的請求，就可能直接控制整棟樓。
- CVE-2026-109618：PHP 在處理請求、記憶體不足時，會留下一筆「只做到一半」的資料，之後清理時把它當成正常資料使用，攻擊者可以藉此執行自己的程式。
- CVE-2026-109619：PHP 在處理下一個請求時，誤用了上一個請求已經釋放的記憶體（use-after-free），同樣可能被拿來執行程式。
兩個漏洞都發生在 PHP 剛收到請求、網站程式都還沒開始跑之前，這也是它危險的地方。
哪些網站會受影響？
只要網站是用 PHP 執行、而且 PHP 版本早於下表的修補版，就在影響範圍內。這和你用 WordPress 的哪一版、裝了哪些外掛無關；Laravel、自行開發的 PHP 系統、購物車同樣受影響。主機架構方面，資安公司 Datadog 的分析指出，Apache 模組（mod_php）、PHP-FPM、CGI 與 LiteSpeed 都在範圍內。
| 你的 PHP 版本 | 是否受影響 | 該怎麼做 |
|---|---|---|
| 8.5.x | 8.5.12 之前受影響 | 更新到 8.5.12 以上 |
| 8.4.x | 8.4.27 之前受影響 | 更新到 8.4.27 以上 |
| 8.3.x | 8.3.36 之前受影響 | 更新到 8.3.36 以上 |
| 8.2.x | 8.2.35 之前受影響 | 更新到 8.2.35 以上 |
| 8.1、8.0、7.4 | 全部受影響，沒有官方發行版 | 升級到 8.2 以上；官方只提供原始碼修補，一般共享主機用不到 |
| 7.3 以前（含 PHP 5） | 受影響，沒有任何修補 | 儘快升級，這類網站同時也有大量舊漏洞 |
版本號一樣，不一定代表沒修補。部分主機商會把修補程式直接套進現有版本、版本號不變。要確認自己的主機是否已修補，最可靠的方法是直接問主機商：「我們目前的 PHP 是否已包含 CVE-2026-109618 與 CVE-2026-109619 的修補？」
為什麼這次特別緊急？
每年都有很多 PHP 漏洞，但 PHP2Shell 同時具備了三個讓資安人員緊張的條件：
不需要登入
攻擊者不需要帳號密碼，也不需要網站有任何設定錯誤，只要能對網站送出請求就有機會。
公開前就被攻擊
Datadog 引述 AWS 的觀察，最早的嘗試攻擊出現在 10 月 17 日，比官方公開還早四天；watchTowr 也觀察到公開後的實際攻擊。
資安外掛擋不到
漏洞發生在 WordPress 載入之前，Wordfence 這類網站內的防火牆外掛還沒開始運作。真正能擋的只有更新 PHP，或在主機、CDN 層過濾。
WordPress 網站該做的 5 件事
以下依優先順序排列。第 1、2 件是根本解法，第 3 件是還不能更新時的暫時措施。
查出網站目前用哪一版 PHP
登入 WordPress 後台，到「工具 → 網站健康狀態 → 資訊 → 伺服器」，可以看到「PHP 版本」。也可以在主機商的控制台（例如 hPanel、cPanel）查詢。把版本號和上方表格比對，就知道是否在影響範圍。
更新到修補版，或升級到受支援的版本
如果版本是 8.2 到 8.5，請主機商更新到該分支的修補版；如果是 7.4、8.0、8.1，建議直接升級到 8.3。共享主機的使用者通常無法自己安裝新版 PHP，只能在控制台切換版本，或等主機商推送更新，所以要主動詢問、要求對方給出時程。
還不能更新時，先做暫時緩解
依 Datadog 整理的建議：將 session.upload_progress.enabled 設為 0，可降低 CVE-2026-109619 的風險；PHP 8.5 另外要把 fatal_error_backtraces 設為 0。CVE-2026-109618 則需要主機管理者在伺服器層調整記憶體與請求大小限制，或由 CDN／防火牆過濾異常請求。
這些措施只能「降低風險」，官方與各家資安公司都強調，唯一完整的解法是更新 PHP。另外，設定是否真的生效要實際驗證：我們在盤點時就發現，部分主機上的 .user.ini 設定檔根本沒有被讀取，必須改用其他方式設定。
檢查網站是否已經被入侵
因為攻擊在公開前就開始了，更新之後仍建議檢查一次：後台有沒有不認識的管理員帳號、上傳資料夾（uploads）裡有沒有不該出現的 .php 檔、網站是否突然變慢或出現陌生網址。主機錯誤紀錄若大量出現「Allowed memory size … exhausted」並標示「Unknown on line 0」，也是值得追查的訊號。發現異常請參考 網站被駭 24 小時處理步驟。
把 PHP 版本列入固定維護項目
這次受害最深的，是多年沒有升級 PHP 的網站。PHP 每個版本大約只有 4 年的安全維護期，建議每年檢查一次，在版本停止維護前就安排升級，不要等到漏洞爆發才處理。
甫東實戰：官方公布當天，我們怎麼處理 131 個網站
甫東科技替客戶代管與維護的網站分布在 5 台主機上。10 月 21 日消息一出來，我們當天就做完下面這幾件事：
- 盤點：逐一檢查 133 個網域，可量測的 84 個網站中，有 42 個還在使用已停止維護的 PHP 7.4、8.0 或 8.1。
- 先驗證、再套用：測試發現部分主機的
.user.ini不生效，於是改用確定有效的設定方式，先在測試站確認後才全面套用。 - 逐站備份與比對：每個網站套用緩解設定前先備份，套用後自動比對首頁與登入頁的狀態碼與內容大小，一有異常立即還原。
- 結果：131 個網站完成設定，0 個網站需要還原，沒有跑版、後台功能正常；2 個網站因為購物模組與設定衝突，改用其他方式處理。
- 後續：持續追蹤主機商的 PHP 更新進度，並把 42 個舊版 PHP 網站排入逐站升級計畫。
這次讓我們最有感的不是漏洞本身，而是「設定有沒有真的生效」。很多網站以為做了防護，其實設定檔放錯位置、主機根本沒讀到。資安措施一定要實測驗證，而且動手前要備份、動手後要比對，才不會為了補洞把網站弄壞。
升級 PHP 會不會讓網站壞掉？
有可能，這也是很多網站一直不敢升級的原因。PHP 8 移除了一些舊寫法，太久沒更新的外掛、佈景主題或自行修改過的程式，在新版本上可能出現錯誤。但只要照順序做，風險可以控制得很低。
| 可能出問題的地方 | 升級前先確認 |
|---|---|
| 外掛與佈景主題 | 先全部更新到最新版，查看外掛頁面標示支援的 PHP 版本；停用且不用的直接刪除 |
| 自行修改過的程式 | 佈景主題的 functions.php、自訂外掛或程式片段，用相容性檢查工具或在測試站先跑一次 |
| 購物車、金流、表單 | 升級後實際走一次下單、付款與表單送出流程 |
| 版面與後台 | 逐頁比對首頁、主要內頁與後台常用功能，確認沒有跑版或錯誤訊息 |
建議的升級順序：完整備份 → 在測試站（或主機商的暫存環境）切換新版 PHP → 檢查錯誤紀錄與主要功能 → 正式站切換 → 再檢查一次。多數共享主機可以隨時切回原版本，萬一有問題也能立即還原。
常見問題
我的 WordPress 已經是最新版，還會受影響嗎？
會。PHP2Shell 是 PHP 本身的漏洞，不是 WordPress 的漏洞，WordPress 再新也擋不住。要看的是主機上的 PHP 版本，而不是 WordPress 版本。
裝了 Wordfence 之類的資安外掛，可以擋住嗎？
擋不住。這兩個漏洞發生在 PHP 剛收到請求、WordPress 與外掛都還沒載入的時候。能有效阻擋的是更新 PHP，或在主機、CDN、網站應用程式防火牆（WAF）這一層過濾異常請求。
我用的是共享主機，可以自己更新 PHP 嗎？
通常只能在控制台切換到主機商提供的版本，無法自行安裝修補版。建議直接聯絡主機商，詢問目前的 PHP 是否已包含 CVE-2026-109618 與 CVE-2026-109619 的修補，以及預計的更新時間。
網站還在 PHP 7.4，怎麼辦？
PHP 7.4 早在 2022 年底就停止維護，這次也沒有官方發行的修補版，風險最高。建議先做暫時緩解，同時排入升級到 PHP 8.3 的計畫，升級前在測試環境確認外掛與佈景主題相容。
怎麼知道網站有沒有已經被入侵？
可以先自己檢查三件事：後台有沒有陌生的管理員帳號、uploads 資料夾裡有沒有 .php 檔、Google 搜尋「site:你的網域」有沒有出現奇怪的頁面。若發現異常，或主機商通知流量、資源使用異常，建議盡快請專業人員檢查。
不確定你的網站 PHP 版本安不安全？
甫東科技提供免費網站資安初步健檢：確認 PHP 與 WordPress 版本、是否在 PHP2Shell 影響範圍，並告訴你最該優先處理的三件事。
預約免費資安健檢 →甫東科技有限公司｜高雄市大寮區鳳林一路 184 巷 20-11 號
電話 07-641-8686｜Email service@fulldot.com.tw｜了解網站資安健檢與維護服務
資料來源：Datadog Security Labs、watchTowr、Help Net Security（2026 年 10 月）。漏洞資訊仍在更新，請以 PHP 官方與主機商公告為準。
圖片來源：首圖螢幕上的 HTML 程式碼照片由 Florian Olivo 攝影，取自 Unsplash，依 Unsplash License 免費使用；內文圖片為甫東科技授權圖庫。
