AILIFELAB.CO VOL. 2026 · 10
AI 生活實驗室▪
工具實測 2026 · 10 · 22

PHP2Shell 漏洞怎麼處理？官方建議原文整理，加三段請 AI 幫你查的指令

2026 年 10 月 21 日，PHP 官方公布兩個嚴重漏洞，被叫做「PHP2Shell」。

駭客不用登入，送一個特製的請求，就能在網站主機上執行惡意程式。WordPress 是用 PHP 寫的，也在範圍內。

這篇整理三樣東西：官方資料來源、官方建議的處理方式（原文引用）、三段請 AI 幫你查的指令。

發生了什麼事？

  • 漏洞編號是 CVE-2026-109618 和 CVE-2026-109619，「PHP2Shell」是這兩個漏洞的統稱，兩個用同一次更新一起修掉。PHP 官方用 CVSS 4.0 計分，嚴重程度是 9.2 分（滿分 10）；其他單位用的計分方式不同，可能會看到 9.8。網路上流傳的 10 分，PHP 基金會說明是錯的。
  • 這兩個洞最早可以追到很舊的 PHP 5.4，藏了十幾年。PHP 基金會說，2024 年就有人看到問題的跡象，只是當時沒找到攻擊方法。今年 8 月，主要三組研究人員（Calif、Wiz、OpenAI）各自用 AI 幫忙，確認它們能被拿來攻擊。
  • 「全球約 70% 網站可能被影響」是這樣算的：W3Techs 統計，在認得出伺服器語言的網站裡，有 69.3% 用 PHP（2026 年 10 月 22 日的數字）。用 PHP 不等於一定會被入侵，已經修補或有防護的就不算。
  • AWS 的誘餌系統在公開前就記錄到攻擊嘗試，TWCERT/CC 也說網路上已經有攻擊示範程式在流傳。截至 10 月 22 日，還沒有官方單位公開確認成功入侵的案例。

來源：PHP 官方公告、TWCERT/CC 漏洞警訊公告、PHP 基金會說明、W3Techs、AWS 安全部落格

我的網站需要處理嗎？

漏洞在 PHP 本身，不在 WordPress。所以更新 WordPress、外掛、佈景主題都修不了，要更新的是主機上的 PHP。

依你的網站放在哪裡，要做的事不一樣：

  • 自己租的主機（一般的 VPS、雲端主機）：主機商通常不會幫你更新，要自己來，或請工程師處理。不確定是不是代管的，問主機商。
  • 主機商的共享主機：大型主機商有公告會處理，但進度不一，一定要寫信確認。
  • 代管平台（例如 WordPress.com）：平台負責，Automattic 公告旗下代管網站已受保護，客戶不用動作。
  • 不確定網站是不是用 PHP 做的：問當初架站的人或主機商。

最要確認的是兩種網站：當年請人做、現在找不到人維護的；還有存著會員、表單、購物車資料的。

完成訊號：你知道自己的網站屬於哪一種，也知道該找誰問。

怎麼看自己的 PHP 是幾版？

  • WordPress 網站：用管理員帳號登入後台，「工具」→「網站健康狀態」→「資訊」→「伺服器」，裡面有 PHP 版本。
  • 用主機商的控制台：通常在 cPanel 或主機後台的「PHP 版本」設定裡。
  • 都找不到：直接問主機商或工程師，或截圖給 AI 看（指令 2）。

版本號會騙人嗎？

會。很多主機用的是 Linux 系統內建的 PHP，系統商會把修補直接補進舊的版本號裡，數字不會變。

例如 Ubuntu 24.04 補好之後，顯示的還是 8.3.6（後面多一串 0ubuntu0.24.04.13）；Ubuntu 22.04 的 8.1.2 也已經有修補。也有主機商會自己替舊版本補洞。

所以版本號只是第一步。看到版本號後面有 ubuntu、deb、el 這類字樣，或你用的是主機商的共享主機，最後都要以主機商的公告或回覆為準。

看到版本之後

  1. 8.2 到 8.5：更新到修補版（8.5.12、8.4.27、8.3.36、8.2.35），或裝好 Linux 發行版、主機商出的修補套件。8.2 在 2026 年 12 月 31 日停止支援，順便排升級。
  2. 8.1 以下：PHP 官方不再出正式更新。有些主機商或 Linux 發行版會自己補，先問。長期還是要升到受支援的版本。WordPress 官方建議 8.3 以上，但 8.3 的安全支援只到 2027 年 12 月 31 日，所以要升大版本的話，能直接上 8.4 或 8.5 更好。跨大版本升級，舊外掛可能會壞，先備份，先在測試站試。
  3. 更新前就怪怪的（陌生的管理員帳號、網站被導去別的地方）：光更新不夠，要請人清查有沒有被留後門。

不管哪一種，更新完都要重啟 PHP 服務（例如 Apache、PHP-FPM），舊的程式才會停掉。只更新不重啟，舊的程式還在跑，漏洞也還在。

PHP 官方也列了一些暫時的設定調整，但官方自己說這些都不能讓網站真正安全，有的還可能把主機記憶體吃光。這部分交給工程師判斷，不要自己改。

官方建議怎麼做？（原文整理）

以下是各單位公告的原文。英文的部分我翻成中文，括號裡附原文。

TWCERT/CC 台灣電腦網路危機處理暨協調中心（2026-10-22）

中文整理最完整，推薦先看這篇。

「網站由委外廠商建置或代管業者維運之單位，應主動向廠商確認PHP版本及修補狀態」

「使用WordPress、Drupal、Joomla、Magento等以PHP運作之內容管理系統者，亦應一併確認」

「儘速更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35；使用Linux發行版套件或長期支援服務者，應向供應商確認已提供更新套件。」

「使用PHP 8.1及更早版本者，應洽詢供應商是否提供修補，或升級至受支援版本。」

「若無法立即完成更新，應考慮將對外系統與網際網路隔離或暫停服務。」

「已完成更新之系統亦宜檢視存取紀錄，確認修補前是否已有遭入侵跡象」

「使用PHP 8.2者，應於2026年12月31日結束生命週期前規劃升級。」

來源：TWCERT/CC 資安新聞、TWCERT/CC 漏洞警訊公告（含受影響版本表）

數位發展部資通安全署（115 年 10 月 22 日）

「資安署呼籲使用 PHP 的機關、學校及企業，儘速完成版本確認與更新。」

「請各單位盤點所有 PHP 系統與相關套件，確認版本後依原廠公告方式完成修補。」

「更新後，亦應檢視系統日誌及異常存取紀錄，如發現可疑活動，應進一步確認相關帳號與憑證安全性。」

來源：資安署新聞稿

PHP 官方（2026-10-21）

「更新到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35。」（Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35.）

「PHP 8.1 以下已不再收到 PHP 專案的更新。部分發行版和長期支援廠商有提供移植的修補，請聯絡你的廠商了解細節，或升級到受支援的版本。」（PHP 8.1 and older no longer receive updates from the PHP project. Some distributions and LTS vendors provide backported fixes, so contact your vendor for details, or upgrade to a supported version.）

「沒有完整的緩解辦法，更新是唯一安全的選擇。」（There are no complete mitigations, updating is the only safe choice.）

來源：PHP 官方公告、PHP 版本支援表

美國網路安全暨基礎設施安全局 CISA（2026-10-21）

「立即套用修補，優先處理對外連網的系統。」（Apply the patch immediately, prioritizing internet-facing systems.）

「無法立即更新、或仍在使用 PHP 8.1 以下這類不受支援版本的組織，應該把用 PHP 的系統先下線，直到完成修補或更新。」（Organizations that cannot update immediately, or that continue to use PHP 8.1 or earlier unsupported versions, should take PHP-based systems offline until they can be patched or updated.）

「在系統完成更新或修補前，網站應用程式防火牆可能提供一些保護。」（A web application firewall may provide some protection until systems are updated or patched.）

來源：CISA 警告

WordPress 官方

「PHP 8.3 或更新的版本。」（PHP version 8.3 or greater.）

舊版本「已經停止官方支援，可能讓你的網站暴露在資安漏洞中。」（these versions have reached their official End Of Life and may expose your site to security vulnerabilities.）

來源：WordPress 系統需求

主機商與大公司的公告重點

這段是我整理的重點，不是原文，細節以各家公告為準（截至 2026 年 10 月 22 日）。

  • WordPress.com 和 Automattic 旗下代管服務：公告旗下代管網站已受保護，客戶不用動作。公告
  • Hostinger：VPS 以外的方案自動修補；VPS 要自己更新。公告
  • GoDaddy：WordPress 代管和 Windows 主機已修補，cPanel 主機佈署中；VPS 要自己更新。公告
  • Cloudflare：公開前約 9 小時就加上防火牆規則，免費方案也有，前提是網站流量有經過 Cloudflare。Cloudflare 說防火牆是多一層保護，不能取代更新 PHP。公告
  • AWS：沒辦法幫你更新執行中的 Lightsail 主機，官方建議用更新後的範本建新主機再搬過去。公告

你的主機商不在上面的話，去它的官網或客服公告找「PHP2Shell」或「PHP 安全更新」。

看不懂？三段請 AI 幫你查的指令

用能上網搜尋的 AI（例如 Claude、ChatGPT），整段複製貼上就可以。三段照順序用，第一段查官方說法，第二段對照你的網站，第三段寫信問廠商。

不要把主機密碼、金鑰、後台帳號貼給 AI。截圖只截 PHP 版本那一行就好，IP、帳號名稱、Email、檔案路徑都遮掉；也不要貼 WordPress「複製網站資訊」整包，裡面有伺服器的細節。

指令 1：先查官方說法

請幫我查 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）的最新消息。

開始之前，先跟我確認：你現在能不能上網搜尋？不能的話直接告訴我，我會自己把官方公告貼給你。

規則：
1. 只看官方來源：PHP 官方網站（php.net）、TWCERT/CC、數位發展部資通安全署、美國 CISA，還有我主機商的公告。我的主機商是：＿＿（不知道就寫不知道）。
2. 每一個重點都附上來源連結和公告日期。
3. 打不開、要登入才看得到、或只看到標題的來源，直接告訴我，不要假裝讀過。
4. 用白話、繁體中文告訴我：
   - 發生了什麼事
   - 哪些 PHP 版本要更新、要更新到哪一版
   - 官方建議怎麼處理
   - 沒辦法馬上更新的時候，官方建議怎麼辦
   - 更新完還要做什麼（例如要不要重啟服務、要檢查什麼）
5. 官方來源沒寫的，直接說「官方沒寫」，不要自己補。

完成訊號：AI 給了你一份附連結的重點，你看得懂自己大概要做什麼。

指令 2：對照我的網站

接下來請根據剛剛查到的官方建議，幫我判斷我的網站要不要處理。

我會附上一張截圖，只有 PHP 版本那一行（主機後台、或 WordPress「網站健康狀態」裡的伺服器資訊）。

規則：
1. 先告訴我截圖裡看得到的 PHP 版本。看不到的話，告訴我要去哪裡找，一步一步講。版本號後面有 ubuntu、deb、el 這類字樣時，提醒我這可能是系統商自己補的版本，要以主機商的公告為準，不要只看數字判斷。
2. 需要知道我的狀況，就先問我，一次只問一個問題，例如：網站放在哪裡（自己租的主機、主機商的共享主機、代管平台）、現在有沒有人在維護、網站有沒有會員或購物車。
3. 根據官方建議，告訴我：需不需要處理、下一步該做什麼、這件事該由我自己做，還是要請主機商或工程師做。
4. 如果要升級 PHP 大版本（例如 7.4 升到 8.4），列出升級前要備份什麼、哪些外掛可能不相容、怎麼先在測試站試。
5. 不要叫我自己執行指令或改主機設定。需要動主機的，列成清單讓我轉給主機商或工程師。
6. 你的判斷和官方原文要分開寫，你推論的部分請標清楚。
7. 用繁體中文回答。

完成訊號：你知道自己的網站要不要處理，也知道是自己做還是找人做。

指令 3：寫信給廠商

請根據剛剛查到的官方公告，幫我寫一封客氣的短信，傳給我的主機商（或網站工程師）。

信裡要問清楚四件事：
1. 我們網站現在的 PHP 是哪一版？
2. 有沒有更新到 PHP2Shell 的修補版本（8.5.12、8.4.27、8.3.36 或 8.2.35），或裝好 Linux 發行版、主機商自己出的修補套件？還沒處理的話，預計什麼時候會處理？
3. 更新後 PHP 服務重啟了沒？
4. 更新前後有沒有檢查存取紀錄，確認沒有被入侵的跡象？

語氣客氣、簡短，六七句以內，最後附上一個官方公告的連結。
用繁體中文寫，收件人是：＿＿

完成訊號：你把信寄出去了，也記下對方回覆的版本和日期。

常見問題

問：我更新了 WordPress 和所有外掛，這樣夠嗎？

答：不夠。漏洞在 PHP 本身，要更新的是主機上的 PHP。WordPress 的更新修不了這兩個洞。

問：我用的是 WordPress.com，要處理嗎？

答：Automattic 公告 WordPress.com 和旗下代管網站已受保護，客戶不用動作。如果你是自己買主機裝 WordPress，那就要確認 PHP 版本。

問：我的 PHP 是 7.4，一定要升級嗎？

答：PHP 官方已經不再為 8.1 以下出正式更新。但部分主機商、Linux 發行版或長期支援廠商有提供自己的修補，先問你的主機商。長期來看還是要升到受支援的版本，能直接上 8.4 或 8.5 更好。

問：已經更新了，還要做什麼？

答：先確認 PHP 服務重啟了。TWCERT/CC 和資安署也都建議更新後檢查存取紀錄，確認修補前有沒有被入侵。發現陌生的管理員帳號、奇怪的新檔案，或網站被導去別的地方，就要請人清查後門。

問：Cloudflare 有擋，是不是就不用更新了？

答：不是。Cloudflare 自己說防火牆是多一層保護，不能取代更新 PHP，而且前提是你的網站流量有經過 Cloudflare。CISA 的說法也是「可能提供一些保護」。更新才是根本的處理。

問：主機商說我的 PHP 是 8.3.6，這樣有補嗎？

答：不一定看得出來。8.3.6 比官方修補版 8.3.36 舊，但如果主機用的是 Ubuntu 系統內建的 PHP，系統商可能已經把修補補進 8.3.6 裡。直接問主機商：「PHP2Shell 的修補套件裝了沒？PHP 服務重啟了沒？」

問：AI 查到的可以全信嗎？

答：不行。指令 1 請它每個重點都附連結，指令 2 請它把推論跟官方原文分開寫。重要的決定，點連結回去看原文，或直接問主機商。

資料來源

查核日期：2026 年 10 月 22 日。消息還在發展中，版本和各家公告以官方最新內容為準。

如果你想把網站維護、重複的雜事交給 AI，可以看看我的服務。

想用 AI 讓生活與工作更輕省，追蹤 AI 生活實驗室 👉 @life.coach.mtcity；想每天看見 AI 可以做什麼，追蹤 @ailifelab.co，我們一起玩 AI！