白話重點
- 誰要處理：用 PHP 的網站都要，包括 WordPress。要更新的是主機上的 PHP，不是 WordPress 本身，多半由主機商或維護網站的人處理。
- 多急：這次 PHP 漏洞讓攻擊者不需登入就能在網站主機上執行程式，嚴重度 9.2（滿分 10）；美國 CISA 2026 年 10 月 26 日確認已遭實際攻擊。
- 今天做一件事：問主機商「我們網站的 PHP 是哪一版？已經套用 CVE-2026-109618、109619 的修補了嗎？哪天完成？」
- WordPress 可以自己看版本：後台「工具 → 網站健康狀態 → 資訊 → 伺服器」。
- 給老闆的一句話：公司網站用到 PHP，已請主機商確認修補，完成日期 ＿＿。
技術摘要（給 IT 人員）
| 項目 | 內容 |
|---|---|
| 編號 | CVE-2026-109618、CVE-2026-109619（CISA 稱 php2shell） |
| 嚴重度 | 兩個都是 CVSS v4.0 9.2 |
| 影響範圍 | 處理網頁請求的 PHP：PHP-FPM、mod_php（官方評為風險最高）、php-cgi、FrankenPHP、LiteSpeed |
| 修補版本 | 8.5.12、8.4.27、8.3.36、8.2.35（原廠 10 月 21 日發布）；發行版的回補套件版本號可能較低 |
| 遭利用狀態 | 已列入 CISA 已知遭利用漏洞清單（10 月 26 日）；截至 10 月 27 日 |
| 原廠公告 | PHP 2026 安全公告 |
這次 PHP 漏洞是什麼？為什麼 WordPress 網站也要處理？
這次 PHP 漏洞（php2shell）出在 PHP 本身處理網頁請求的地方，不管網站用 WordPress 還是其他 PHP 程式，主機上的 PHP 沒修補就在範圍內。PHP 官方公告提到 mod_php 已有攻擊示範：一個未登入的請求，就能在網站程式執行前觸發。
| 日期 | 發生什麼事 |
|---|---|
| 10 月 21 日 | PHP 發布 8.5.12、8.4.27、8.3.36、8.2.35；CISA 同日呼籲立即修補 |
| 10 月 26 日 | CISA 列入已知遭利用漏洞清單，確認已有實際攻擊 |
PHP 版本要更新到哪一版？
| 目前的大版本 | 要更新到 | 備註 |
|---|---|---|
| 8.5／8.4／8.3 | 8.5.12／8.4.27／8.3.36 | |
| 8.2 | 8.2.35 | 8.2 在 2026 年 12 月 31 日停止安全更新，要開始排升級 |
| 8.1 以前（含 7.x） | 官方不再發布新版 | 官方另給 7.4、8.0、8.1 原始碼補丁，要由主機商套用 |
用 Linux 發行版套件的，各發行版已事先拿到修補，請向發行版確認更新套件已推出再更新；發行版回補的版本號可能低於上表，要看套件說明有沒有列這兩個 CVE。
主機商還不能修補 PHP 漏洞，怎麼辦？
先問清楚預計哪天完成。等待期間，CISA 的建議是：
- 無法立即修補、或還在用 PHP 8.1 以前的系統，先讓它離線，直到修補或升級完成——要不要暫時關站，請和主機商一起決定
- 網站應用程式防火牆（WAF）在更新前或許能提供部分保護
- 留意 PHP 程序開啟命令列或下載工具這類可疑活動
給負責主機的人：PHP 公告列了降低特定攻擊路徑的設定，例如在 php.ini 或 FPM pool 設定 session.upload_progress.enabled=0 並重啟所有 worker；這只能撐到更新那天，不能讓系統變安全。
主機商遲遲不修補，就是該換主機的時候，搬家要注意什麼見〈網站搬家費用怎麼算〉。
更新紀錄
- 2026 年 10 月 27 日：首次發布
我們怎麼做？
不確定網站跑的是哪一版、主機商又聯絡不上，可以把網址寫信給我們，我們先免費幫你判讀版本與該找誰處理。需要升級 PHP 或搬家時，再談網站設計與維護（服務全台）；公司內部還有其他用 PHP 的系統，一起盤點見企業雲端建置與資安防護。
常見問題
網站還在用 PHP 7.4 或 8.0，怎麼辦？
PHP 8.1 以前官方不再發布新版。這次因為嚴重，官方另外提供了 7.4、8.0、8.1 的原始碼補丁，但要由主機商或自己編譯套用。請主機商確認已套用，否則換到受支援的版本；CISA 建議在修補或升級前先讓系統離線。
更新 PHP 會不會讓 WordPress 外掛或佈景壞掉？
同一個大版本內的更新（例如 8.3 系列內更新到 8.3.36）是修補版，我們的經驗是相容性風險低，可以直接更新。跨大版本（例如 7.4 換到 8.x）才可能讓舊外掛或佈景出錯，要先在測試站試過再換。
用虛擬主機，可以自己在控制台切 PHP 版本嗎？
多數控制台切的是大版本（例如 8.2、8.3），切了不代表已經是修補版。我們建議直接請主機商回覆完整版本號，以及是否已含 CVE-2026-109618、109619 的修補。
被這個漏洞打到會怎樣？
攻擊者可以不登入就在網站主機上執行自己的程式，等於拿到主機的控制權；後續能做什麼要看主機的設定與權限。CISA 建議留意 PHP 程序開啟命令列或下載工具這類可疑活動，主機商通常看得到這些紀錄。
