PHP2Shell 漏洞怎麼查？3 步確認你的網站有沒有受影響（WordPress、主機代管必看）

這兩天「PHP 漏洞」上了新聞，連日本首相高市早苗都在 X 上發文，請大家當晚準備更新。

很多店家的官網是 WordPress、或請人用 PHP 架的，第一個問題通常是：「我的網站有沒有事？」

這篇用最短的方式講清楚：發生什麼事、怎麼確認、要做什麼。

發生了什麼事

PHP 被發現兩個嚴重漏洞，合稱 PHP2Shell，編號 CVE-2026-109618、CVE-2026-109619，嚴重程度 CVSS 9.2 分。攻擊者不需要登入，就可能在你的主機上執行程式。

PHP 官方在台灣時間 10 月 21 日晚上 10 點發布修補版本：

PHP 是很多網站背後在用的程式語言。依 W3Techs 的統計，在能判斷後端語言的網站裡，大約七成用的是 PHP。WordPress 就是用 PHP 寫的。

要特別注意：更新 WordPress 或外掛，不會修好這個漏洞。要更新的是主機上的 PHP 本身。

第一步：確認網站是不是用 PHP

符合下面任何一項，你的網站幾乎就是用 PHP：

• 用 WordPress、WooCommerce、Joomla、Drupal 架站
• 網址裡看得到 .php，例如 index.php
• 主機是虛擬主機，後台是 cPanel 或 Plesk

如果你的網站是 Wix、Shopify、Squarespace 這類平台，主機由平台負責，通常不用自己處理。

第二步：查目前的 PHP 版本

WordPress：登入後台，到「工具」→「網站健康狀態」→「資訊」，展開「伺服器」，就會看到 PHP 版本。

cPanel 虛擬主機：登入 cPanel，找「Select PHP Version」或「MultiPHP Manager」。這裡顯示的是你選的版本系列，例如 8.3；實際的小版本號，要問主機商或用 WordPress 的網站健康狀態看。

不確定怎麼看：直接寫信或打電話問主機商：「我的網站 PHP 版本是多少？有沒有更新到這次 PHP2Shell 的修補版本？」

查到的版本號，對照上面的表格。例如顯示 8.3.35，就是還沒更新；8.3.36 就是已經修好。

第三步：還沒更新，先做這幾件事

1. 請主機商更新 PHP：虛擬主機的 PHP 通常是主機商統一更新的，你能做的是確認他們有沒有更新、什麼時候更新。
2. 自己管主機的，直接更新：用 VPS 或自己的伺服器，照你的系統套件更新 PHP，更新完記得重啟 PHP 服務。
3. 暫時的防護設定：資安團隊公開的緩解做法之一，是關閉 PHP 的上傳進度功能（session.upload_progress.enabled = 0），並把上傳大小限制調低。這些只能降低風險，不能取代更新。
4. 真的沒辦法更新：美國 CISA 建議，無法馬上更新、或還在用已停止維護版本的系統，先暫時下線。

更新之後，順便檢查有沒有被動過

更新只能防止之後被攻擊。如果更新前已經被入侵，留下的東西不會自己消失。可以請工程師或主機商幫忙看：

• 網站根目錄、上傳資料夾裡，有沒有最近多出來、你不認得的 .php 檔
• 網站有沒有突然多了不認識的管理員帳號
• 主機的存取紀錄裡，有沒有大量異常的請求

我們自己的網站怎麼處理

我們的官網也是 PHP。新聞出來後，我們做了這幾件事：

1. 確認主機上的 PHP 版本，已經是修補後的 8.3.36。
2. 把網站用不到的 PHP 上傳進度功能關掉，多一層防護。
3. 檢查網站根目錄和上傳資料夾，確認這幾天沒有被改動、沒有多出不明的程式檔。

整個過程不到一小時，網站也沒有停機。

不想自己處理，可以交給我們

這種事最麻煩的，往往不是技術，是不知道該找誰：網站是 A 做的，主機是 B 的，帳號在離職員工手上。

我們的主機代管服務，就是把這些事集中在同一個地方：PHP 和系統更新、備份、資安檢查都有人顧，這種漏洞出來時，你不用自己追新聞。

如果你不確定自己的網站有沒有受影響，可以先預約 30 分鐘免費診斷，我們幫你看一次目前的 PHP 版本和主機狀況。

看主機代管服務　預約 30 分鐘免費診斷

常見問題

Q：我的網站沒有會員登入，也會受影響嗎？

會。這次的漏洞不需要登入就能利用，跟網站有沒有會員功能無關。

Q：更新 PHP 會不會讓網站壞掉？

同一個系列內的小版本更新（例如 8.3.35 更新到 8.3.36），通常不會影響網站功能。跨系列升級（例如 7.4 升到 8.3）才比較可能有相容性問題，需要先測試。

Q：有 WAF 或 Cloudflare 就不用更新了嗎？

不是。WAF 可能擋掉一部分攻擊，但已經有攻擊者在嘗試繞過防護。PHP 官方的說法很清楚：更新才是唯一確定的解法。