PHP2Shell 是什麼？PHP 緊急安全更新，企業網站該如何應對？

PHP 是許多網站使用的伺服器端程式語言，負責處理表單、會員登入、資料查詢與網站後台等功能。常見的 WordPress 網站，以及不少客製化企業網站，都會透過 PHP 運作。

PHP2Shell 是此次兩項重大 PHP 安全漏洞的統稱，漏洞編號為 CVE-2026-109618 與 CVE-2026-109619。依 PHP 官方公告，這些漏洞可能讓未經身分驗證的攻擊者，在受影響的環境中執行程式碼。用白話來說，就是攻擊者可能不需要登入網站後台，就有機會利用漏洞執行未經授權的操作。

此次問題涉及 PHP 本身的執行環境，因此處理時需要確認主機上的 PHP 是否已完成修補。依據 PHP 官方安全公告，官方已於 2026 年 10 月 21 日發布 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，並呼籲使用者立即更新。

如果網站使用 PHP 處理網頁請求，就應確認此次安全更新是否已經完成。企業常見的使用情境，包括 WordPress 官網、以 PHP 開發的客製化網站，以及使用 PHP 的購物、會員或管理系統。

依據 PHP 官方影響範圍說明，需留意的環境涵蓋 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed 等多種執行方式。因此，評估時需要掌握實際環境，不能只依網站採用哪一套系統，或是否提供檔案上傳功能來判斷。

英國 NHS England 的 PHP2Shell 資安警示也提醒，使用受影響 PHP 版本的網頁伺服器與應用程式可能面臨風險，並要求受影響單位更新至已修補且受支援的版本。

對企業而言，可以先向主機商或網站維護團隊確認目前使用的 PHP 環境、是否已完成修補，以及更新後是否完成網站功能驗證，掌握實際處理進度。

對企業窗口而言，可以先向主機商或網站維護團隊確認三件事：

1. 網站目前是否使用 PHP，以及實際使用的版本與執行環境。
2. 目前環境是否已套用此次漏洞的修補。
3. 若尚未完成，預計何時處理，以及期間如何降低風險。

依據 PHP 官方更新說明，部分主機商或作業系統供應商會將安全修補回補至既有套件，因此修補狀態應搭配供應商公告及套件紀錄確認，不能只憑版本號判定。

網站能正常顯示，代表目前服務可以運作，卻無法證明底層環境沒有安全漏洞。安全更新的目的，是在漏洞被利用之前，降低未經授權存取與操作的風險。

若漏洞遭到利用，可能影響網站內容、系統資料及服務運作；實際影響範圍則與主機權限、環境設定及攻擊情況有關。因此，企業收到安全通知後，應先確認環境與修補狀態，避免把「目前沒有異常」當作延後處理的依據。

同時，也需要區分「存在漏洞」與「已遭入侵」。收到漏洞通知，並不代表網站已經被攻擊；完成更新，也不代表已經完成所有異常調查。是否需要進一步檢查，應由技術團隊依紀錄與網站狀況評估。

① 確認網站實際使用的 PHP 與修補狀態

同一台主機可能同時提供不同版本的 PHP，不同網站或子網域也可能使用不同設定，因此確認時應涵蓋正式網站、仍對外開放的測試站，以及其他使用 PHP 的服務，確保實際處理網站請求的環境都已完成修補。此外，部分作業系統供應商會將安全修補回補至既有套件，例如 Ubuntu 官方的 PHP2Shell 修補說明，便列出各發行版本對應的已修補套件。因此，不能只憑 PHP 版本號判定是否安全，應請主機商或維護團隊依供應商公告、套件完整版本及實際生效狀態確認。

② 確認更新負責人與完成時間

不同合作方式，會有不同的維護分工。有些主機方案由主機商維護 PHP 套件；有些環境則需要企業或受委託的技術團隊自行管理，網站程式的相容性檢查也可能由另一個團隊負責。因此，企業可以請相關廠商說明處理範圍、預計時間及完成後的驗證方式，透過清楚的分工，避免各方都以為其他人已經處理，造成更新或檢查上的遺漏。

③ 確認備份與必要的相容性測試

更新前應確認網站檔案與資料庫具有可用備份，並了解需要時如何還原。若網站使用較舊的程式、外掛或特殊功能，也應安排必要的相容性檢查。緊急安全事件需要兼顧處理速度，測試範圍與執行方式應由技術團隊依網站重要性及風險安排；若無法立即更新，也應同步評估限制存取等應變措施。PHP 官方指出，暫時措施只能減少特定攻擊途徑的暴露，無法取代完整更新。

④ 更新後驗證網站功能與修補是否生效

更新完成後，除了確認頁面能開啟，也應檢查企業實際依賴的功能，例如聯絡表單、後台登入、檔案上傳、會員操作，以及購物或付款流程。技術團隊也需要確認修補已在實際服務中生效，並依環境完成必要的服務重新載入或重啟，讓套件更新與功能驗證一起完成，才能較完整地確認處理結果。

⑤ 檢查異常並留下處理紀錄

修補完成後，可依風險檢查網站與主機紀錄，留意不明檔案、異常帳號、非預期的內容變更及服務錯誤，若發現可疑情況，應進一步調查。企業也建議保留此次處理的日期、涵蓋網站、修補依據與驗證結果，這些紀錄能幫助後續維護交接，也方便未來遇到安全事件時快速掌握環境。

PHP 更新是否影響網站，與更新幅度、程式寫法及使用的外掛或套件有關。同一分支的安全修補，與從舊版跨越多個版本升級，通常需要不同程度的相容性評估。

若網站已經多年沒有維護，可能需要先調整部分程式或更新相關套件，才能在受支援的 PHP 版本上穩定運作。因此，更新時應同時確認安全需求、相容性與執行安排，避免在不清楚環境的情況下直接切換版本。

依據PHP 官方舊版本處理說明，PHP 8.1 及更舊版本已不再獲得一般官方更新；此次另提供 PHP 7.4、8.0、8.1 的最低限度原始碼回補，供特定情境使用。若網站仍依賴舊版本，應向供應商確認修補方式，並規劃遷移至受支援的版本。

更新 WordPress 或外掛，就等於完成 PHP 修補嗎？

WordPress、外掛與 PHP 屬於不同層次。更新網站系統與外掛有其必要性，但此次漏洞需要確認底層 PHP 的修補狀態。應請主機商或維護團隊分別確認。

網站有 SSL 憑證，還需要處理嗎？

需要。SSL 憑證主要用於保護傳輸連線，並不會修補 PHP 本身的漏洞。網站網址顯示 HTTPS，也仍應確認 PHP 是否完成更新。

有防火牆，可以暫時不用更新嗎？

防火牆可能協助降低部分攻擊風險，但不能直接視為漏洞已修復。PHP 官方明確指出，只有更新才是完整的解決方式。PHP 官方安全公告

主機商說已經處理，還需要確認什麼？

可以請主機商提供修補依據、涵蓋範圍，以及網站實際使用環境已生效的確認。同時由網站管理或維護團隊檢查重要功能，讓主機修補與網站驗證相互銜接。

這次事件也提醒企業，網站上線後，仍需要有人持續掌握執行環境、追蹤安全公告，並在必要時安排更新與測試。

平時保留環境資料、建立可用備份、確認維護分工，遇到緊急事件時，就更容易知道該聯繫誰、哪些服務需要處理，以及如何確認完成。網站維護的價值，也體現在這些日常準備與持續管理之中。

企業可以依網站規模與營運需求，安排合適的維護內容與服務方式，讓網站在長期使用過程中，持續獲得必要的技術支援。若想進一步了解網站維護包含哪些工作，以及如何安排檢查與服務分工，也可以延伸閱讀「網站維護內容與注意事項」，作為規劃的參考。