PHP 漏洞 PHP2Shell 爆發，你的官網安全嗎？台灣品牌現在應該確認的三件事
快速摘要
2026 年 10 月 21 日，PHP 發布緊急修補，修復兩個極危漏洞 PHP2Shell（CVE-2026-109618 和 CVE-2026-109619），CVSS 評分 9.2 分，允許攻擊者不需要登入就能遠端控制伺服器。全球約 70% 的網站使用 PHP，WordPress、WooCommerce、Drupal、Joomla、Magento、Laravel 等所有跑在 PHP 上的網站全部受影響——不只是 WordPress。最容易讓台灣品牌主搞混的兩件事：第一，受影響的是 PHP 語言本體，不是某個特定平台或外掛，任何用 PHP 寫的網站都有問題；第二，這個漏洞的修補必須由虛擬主機商在伺服器端更新 PHP 版本才能解決，你自己在後台更新外掛、主題或 CMS 版本，救不了這個漏洞。台灣品牌現在應確認三件事：聯絡虛擬主機商確認 PHP 版本是否已更新至安全版本（PHP 8.2.35、8.3.36、8.4.27 或 8.5.12）、確認網站有沒有異常行為的跡象、以及評估是否使用 PHP 8.1 以下的舊版（已停止維護，官方無修補版本）。
2026 年 10 月 21 日，全球資安界出現了少見的緊急動員。
日本首相高市早苗主動關閉個人官網。日本國稅廳、氣象廳、多所銀行、nico nico、pixiv 等大型服務相繼暫停。Cloudflare 的 CEO 公開表示，這個等級的漏洞「還會繼續出現」。OpenAI 發出協防呼籲。
原因是同一件事：PHP 被發現兩個允許攻擊者完全控制伺服器的重大漏洞，而全球約 70% 的網站是跑在 PHP 上的，你的 WordPress 官網幾乎肯定也在裡面。
這不是 WordPress 的問題，所以更新外掛救不了你。讓我們說清楚發生了什麼、你現在需要做什麼。
不過在開始之前，一樣照慣例先替自己泡杯咖啡，然後再跟我們一起看下去吧！
PHP2Shell 是什麼？為什麼這次特別嚴重？
PHP2Shell（CVE-2026-109618 和 CVE-2026-109619）是 2026 年 10 月發現的兩個 PHP 重大漏洞，CVSS 評分 9.2 分（滿分 10），評級「極危」。
這兩個漏洞的危險之處在於：攻擊者不需要任何登入憑證，只需要向有漏洞的 PHP 網站發送一個特製的請求，就可以在伺服器上執行任意程式碼。換句話說，攻擊者可以完整控制你的網站伺服器——讀取資料庫、竊取用戶資料、植入後門、或讓網站完全癱瘓。
漏洞影響的範圍是 PHP 語言本身，不是 WordPress 或某個特定平台的問題。 所有跑在 PHP 上的應用程式全部受影響：
CMS 平台：WordPress（含 WooCommerce）、Drupal、Joomla、TYPO3
電商平台：Magento、Adobe Commerce、OpenCart、PrestaShop
PHP 框架：Laravel、Symfony、CodeIgniter、CakePHP
自建 PHP 網站：任何用 PHP 程式碼寫的網站，不管前台長什麼樣
論壇和社群系統：phpBB、XenForo（PHP 版本）
不受影響的平台：Squarespace、Webflow、Wix、Shopify 等 SaaS 建站平台（底層不使用 PHP）；純 HTML 靜態網站；用 Node.js、Python、Ruby 寫的應用程式。
判斷你的網站有沒有問題，最直接的問法是：「這個網站是用 PHP 寫的嗎？」而不是「我有沒有用 WordPress？」——只要是 PHP，只要 PHP 版本是舊的，外掛更新再多都沒有用。
這個漏洞是 AI 發現的。 發現並回報第一個漏洞的，除了資安公司 Calif 和 Wiz Research，OpenAI 的 AI 模型 GPT-5.6Sol 也獨立發現並回報，是少見的 AI 主動協助人類資安防禦的真實案例。
修補版本在 10 月 21 日台灣時間晚上 11 點正式釋出，但在修補版本出來之前，漏洞的細節已在網路上流出，攻擊已經開始——Cloudflare 在台灣時間 21 日下午 3 點 43 分就偵測到早期攻擊。
第一件事：確認你的虛擬主機商有沒有更新 PHP
PHP2Shell 的修補必須由虛擬主機商在伺服器端執行，你自己在網站後台更新外掛、主題或 CMS 版本，對這個漏洞完全沒有防護效果——不管你用的是 WordPress、Drupal、還是任何其他 PHP 平台。
修補的關鍵只有一件事：把伺服器上的 PHP 更新到安全版本。 這個動作要由你的虛擬主機商在伺服器端執行，而不是你在網站後台操作。
PHP2Shell 安全版本對照表
🔍 確認你的 PHP 版本：WordPress 後台 → 工具 → 網站健康狀態 → 資訊 → 伺服器。不需要技術背景，30 秒可以查到。
你現在可以做的事：
聯絡你的虛擬主機商（Bluehost、GoDaddy、SiteGround、Cloudflare、台灣的威力網際、遠振等），直接問：「PHP2Shell 漏洞（CVE-2026-109618）你們已經更新了嗎？我的帳戶現在用的是哪個 PHP 版本？」
多數台灣主流虛擬主機商已在 10 月 22-23 日之間完成更新，但不是全部——而且共享主機的更新進度，往往不會主動通知用戶。
第二件事：確認你的 PHP 版本，並知道怎麼查
自己確認 PHP 版本，不需要依賴虛擬主機商告訴你，有幾個方法可以查。
方法一（WordPress 用戶）：在後台查詢
進入 WordPress 後台 → 工具 → 網站健康狀態 → 資訊，找到「伺服器」區塊，裡面會顯示目前的 PHP 版本。這是最快的確認方式，不需要技術背景。
方法二（所有 PHP 網站適用）：在虛擬主機控制台查詢
多數虛擬主機提供 cPanel 或類似的控制台，裡面有 PHP 版本的設定和顯示，不管你跑的是 WordPress、Drupal 還是自建 PHP 網站都可以在這裡查到。如果主機控制台允許你自己切換 PHP 版本，直接切換到安全版本（8.2.35、8.3.36、8.4.27 或 8.5.12）。
方法三（所有 PHP 網站適用）：建立一個 phpinfo 檔案
在網站根目錄建立一個 phpinfo.php 檔案，內容只有 <?php phpinfo(); ?>，用瀏覽器開啟後會顯示完整的 PHP 資訊，包含版本號。查完後務必立刻刪除這個檔案，因為 phpinfo 會暴露伺服器資訊，不應該長期公開存放。
方法四：聯絡虛擬主機商客服
直接問客服：「我的帳戶現在跑的是哪個 PHP 版本？是否已更新至 PHP2Shell 漏洞修補版本？」這是最不需要技術背景的方式，也確保得到的是最新的答案。
第三件事：如果用了 PHP 8.1 以下的舊版，現在就要處理
PHP 8.1 已在 2024 年底停止官方維護，PHP 7.x 更早停止，這些版本的 PHP2Shell 漏洞沒有官方修補版本。
PHP 8.1 已在 2024 年底停止官方維護，PHP 7.x 更早停止，這些版本的 PHP2Shell 漏洞沒有官方修補版本。
這是最棘手的情況，也是日本多個線上遊戲選擇在這次事件後直接宣布結束服務的原因——因為技術架構太老舊，要安全修補的成本太高。
如果你的網站現在跑在 PHP 8.1 以下，有三個選項：
選項一：請虛擬主機商協助升級 PHP 版本。 多數現代虛擬主機支援 PHP 8.2 以上，這是成本最低的解法。需要注意的是，PHP 版本升級有時會導致舊的外掛或主題出現相容性問題，升級前需要先在測試環境確認。
選項二：換一個支援現代 PHP 的虛擬主機商。 如果你現在的主機商不支援 PHP 8.2+，這本身就是一個風險訊號——一個無法支援現代 PHP 版本的主機，在資安維護上通常也存在更大的隱患。
選項三：評估換用 SaaS 建站平台。 如果網站規模不大、技術維護資源有限，這次事件是一個重新評估「要不要繼續用 WordPress + 虛擬主機」這個組合的好時機。Squarespace、Webflow 等 SaaS 建站平台是封閉架構，PHP 漏洞這類問題由平台方統一維護，品牌主不需要自己追蹤和修補。
WordPress 用戶常見的誤解
誤解一：「我昨天剛把 WordPress 更新到最新版，應該沒問題了。」
不對。PHP2Shell 的漏洞在 PHP 語言本體，更新 WordPress 對這個漏洞沒有防護效果。要確認的是 PHP 版本，不是 WordPress 版本。
誤解二：「我裝了資安外掛，網站應該安全。」
資安外掛（如 Wordfence、Sucuri）可以偵測和阻擋某些攻擊模式，但它們跑在 PHP 上——如果 PHP 本體有漏洞，資安外掛的防護效力也會大打折扣。修補 PHP 本身才是根本解。
誤解三：「這個漏洞是針對大型網站的，我的小網站應該不會被打。」
不對。根據資安研究機構 watchTowr 的監測，PHP2Shell 已經有自動化攻擊工具在野外被發現，這類工具的運作方式是大量掃描有漏洞的目標，不選大小，只要有漏洞就會被鎖定。
誤解四：「我的網站內容是靜態的，不會有什麼重要資料，應該不需要擔心。」
有漏洞的 PHP 網站被攻陷後，攻擊者不只是竊取資料，還會植入惡意程式碼、用你的伺服器攻擊其他網站、或把你的網站變成散布惡意連結的跳板——這些影響和網站本身有沒有重要資料無關。
這次事件對台灣品牌的啟示
除了立即的 PHP 更新行動，這次事件還有一個更大的啟示：官網的技術架構和維護模式，是品牌數位資產的核心風險之一，但多數品牌在設計行銷策略時完全沒有把它列進來。
WordPress 加上虛擬主機的組合是台灣品牌最普遍的官網選擇，它的優點是彈性高、成本低，但它的代價是：所有的安全更新、外掛維護、PHP 版本管理，都由品牌自己（或委外的工程師）負責，而不是平台方。一個 PHP 這樣等級的漏洞，可以在幾天內讓你的官網變成攻擊者的工具，而很多品牌主甚至不知道這件事正在發生。
這次事件是一個確認你的官網技術風險的好時機——不只是 PHP 版本，還有：你的虛擬主機商有沒有主動通知你資安事件、你的 WordPress 外掛有多久沒更新、你的官網有沒有定期備份。
☕ 品嚐最後一口咖啡，看看 koodata 的總結
PHP2Shell 事件讓很多台灣品牌主第一次意識到，官網的資安風險是真實的、是現在進行式的。
三件事現在就可以做：
第一，到 WordPress 後台的「網站健康狀態 → 資訊」查詢你的 PHP 版本，確認是否達到安全版本（8.2.35、8.3.36、8.4.27 或 8.5.12 以上）。
第二，聯絡你的虛擬主機商，直接問他們 PHP2Shell 漏洞已經修補了嗎。
第三，如果你的 PHP 版本是 8.1 以下，優先處理升級問題——這不是可以等的事情。
官網是品牌數位存在的基礎。一個能正常投廣告、能正常讓消費者找到你、能正常收集表單和訂單的官網，是所有行銷活動的前提。這次 PHP2Shell 事件，是一個提醒我們把官網技術健康列入行銷風險管理的好機會。
FAQ：關於 PHP2Shell 漏洞和 WordPress 安全的常見問題
Q1. PHP2Shell 漏洞是什麼？為什麼這麼嚴重？ A：PHP2Shell（CVE-2026-109618 和 CVE-2026-109619）是 2026 年 10 月 21 日修補的兩個 PHP 重大漏洞，CVSS 評分各 9.2 分，允許攻擊者不需要任何登入憑證，就能遠端執行任意程式碼並完全控制伺服器。PHP 是全球約 70% 網站使用的後端程式語言，WordPress、Drupal、Joomla、WooCommerce 全部跑在 PHP 上，因此受影響範圍極廣。此外，在官方修補版本釋出之前，漏洞的細節已在網路流出，攻擊在修補前就已開始。
Q2. 我的網站（WordPress、Drupal 或自建 PHP 網站）需要做什麼才能修補這個漏洞？ A：修補 PHP2Shell 漏洞只有一個方法：把伺服器上的 PHP 更新到安全版本（PHP 8.2.35、8.3.36、8.4.27 或 8.5.12）。這個更新必須由虛擬主機商在伺服器端執行，不論你跑的是 WordPress、Drupal、Joomla、Magento、還是自建 PHP 網站，在應用程式後台更新外掛或 CMS 版本，對這個漏洞完全沒有防護效果。需要做的只有一件事：確認伺服器上的 PHP 版本已達安全版本。
Q3. 怎麼確認我的網站用的 PHP 版本是否已修補？ A：最快的方法是在 WordPress 後台 → 工具 → 網站健康狀態 → 資訊 → 找到「伺服器」區塊，查看目前的 PHP 版本。確認版本後，對照安全版本：PHP 8.5.x 需達 8.5.12、PHP 8.4.x 需達 8.4.27、PHP 8.3.x 需達 8.3.36、PHP 8.2.x 需達 8.2.35。如果版本低於上述數字，應立即聯絡虛擬主機商要求更新。
Q4. 如果我的網站用的是 PHP 8.1 或更舊的版本怎麼辦？ A：PHP 8.1 已在 2024 年底停止官方維護，PHP 7.x 更早停止。這些版本對於 PHP2Shell 漏洞，官方沒有提供標準修補版本。處理選項有三個：請虛擬主機商協助升級 PHP 至 8.2 以上（升級前需確認外掛和主題的相容性）；換一個支援現代 PHP 的虛擬主機商；或評估是否遷移至 Squarespace、Webflow 等 SaaS 建站平台，由平台方統一維護資安更新。
Q5. Squarespace 或其他 SaaS 建站平台會受到 PHP2Shell 影響嗎？ A：不會。Squarespace、Webflow、Wix 等 SaaS 建站平台不使用 PHP，不受 PHP2Shell 漏洞影響。這類平台由平台方統一負責基礎設施的資安維護，品牌主不需要自行追蹤和修補 PHP 這類底層漏洞。相較於 WordPress 加虛擬主機的組合，SaaS 平台在資安維護的負擔上，對品牌主更友善。
Q6. 台灣有哪些虛擬主機商已在 PHP2Shell 事件後完成修補？ A：多數主流台灣虛擬主機商（如威力網際、遠振、Cloudmax 等）已在 10 月 22-23 日之間完成更新，但個別帳號的 PHP 版本設定可能因方案不同而有差異，且部分共享主機允許用戶自行設定 PHP 版本，因此不應假設主機商更新後你的帳號就自動安全——建議直接聯絡主機商客服確認，或自行在 WordPress 後台查詢 PHP 版本。
Q7. 裝了資安外掛或 WAF，可以防護 PHP2Shell 嗎？ A：部分防護，但不完整。PHP2Shell 的漏洞在 PHP 語言本體，低於任何應用程式層級工具的作用範圍。不論是 WordPress 的 Wordfence、Sucuri，還是伺服器層級的 WAF，雖然可以偵測和阻擋某些已知的攻擊模式，但它們本身也跑在有漏洞的 PHP 上，防護效力受限。WAF 規則可以作為臨時緩解措施（爭取更新 PHP 的時間），但修補 PHP 版本本身，才是唯一完整的解法，任何資安工具都不能替代這個動作。
Q8. PHP2Shell 這次事件對台灣品牌官網有什麼啟示？ A：這次事件揭示了台灣品牌最普遍的官網組合（WordPress 加虛擬主機）的潛在維護負擔：所有底層的安全更新，包含 PHP 版本管理、外掛維護、備份，都需要品牌自己或委外的工程師持續追蹤和執行。一個等級 9.2 的漏洞，可以在幾天內讓官網變成攻擊者的工具，而很多品牌主對此毫不知情。這次事件是重新評估官網技術架構風險的好機會。
資料來源：Codeable「PHP Security Release on 21 October 2026: What WordPress Site Owners Need to Do」（2026 年 10 月 22 日）、watchTowr「PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619」（2026 年 10 月 21-25 日）、SOCRadar「PHP2Shell: Critical PHP RCE Flaws, Affected Versions, and How to Fix Them」（2026 年 10 月）、sansec「PHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619)」（2026 年 10 月）、Impress Watch「予防的サービス停止は日本に定着するのか?」（2026 年 10 月 23 日）、ビジネス+IT「PHP重大脆弱性でWebサイト緊急停止」（2026 年 10 月）
作者 Hugh Chen
喜歡甜食、文字與電影。吟遊詩人是正職，在數位行銷領域兼差超過 10 年。
相信身處在這個擁有豐富網路資源的時代的人都蘊含無限可能。如果有心學習，早餐店阿姨都有可能變成廣告高手亦或油畫大師。
你終究可以成爲你想成爲的。只要持之以恆，時間最終會替你報以掌聲。
• • •
