2026 年 10 月 21 日，PHP 官方修補了兩個嚴重等級的漏洞（CVE-2026-109618、CVE-2026-109619，又被稱為 PHP2Shell），攻擊者不用登入，就有機會直接在你的網站主機上執行程式。
用 WordPress、WooCommerce、Drupal、Joomla、Magento 或其他 PHP 系統架的網站都在影響範圍內，建議盡快把 PHP 更新到 8.2.35、8.3.36、8.4.27 或 8.5.12 以上的版本。沒有使用 PHP 的架站平台（例如我們代理的 Duda Oasis）和純靜態網站，不受這次漏洞影響。
這篇文章會說明：這次事件到底是什麼、哪些網站受影響、你該怎麼確認自己的網站安不安全，以及為什麼有一部分網站從頭到尾都不在風險範圍內。
快速結論
- 漏洞編號為 CVE-2026-109618 與 CVE-2026-109619，PHP 官方給的 CVSS v4.0 評分皆為 9.2 分（嚴重等級）
- 兩者皆為遠端程式碼執行（RCE）漏洞，不需要登入帳號就能發動。
- 所有對外提供網頁服務的 PHP 環境都在範圍內；PHP 8.1 以下的舊版本，官方已經不再提供更新。
- 全球約 69.3% 的網站使用 PHP，WordPress、Drupal、Joomla、Magento 等系統皆受波及。
- PHP 官方已於 台灣時間 10 月 21 日晚上 10 點（14:00 UTC）釋出修補版本 8.5.12、8.4.27、8.3.36、8.2.35。
- 沒有使用 PHP 的網站平台（例如 Duda Oasis、Wix、Squarespace）不受此次漏洞影響。
- 換主機商解決不了這個問題，要更新的是 PHP 本身。
這次的 PHP 漏洞事件是什麼？
事件時間線
| 時間（台灣） | 發生什麼事 |
|---|---|
| 10 月 17 日 | AWS 的蜜罐系統（專門引誘攻擊者上鉤的誘餌主機）已經偵測到第一筆針對這個漏洞的攻擊嘗試，比官方公布早了 4 天 |
| 10 月 20 日 | PHP 開發團隊預告：10 月 21 日晚上 10 點會發布重要安全性更新，修補兩個 9.2 分的重大漏洞，呼籲所有用戶提前準備 |
| 官方發布前 | 漏洞資訊提前外流。技術論壇 Hacker News 有人搶先公布漏洞編號，威脅情報公司 watchTowr 隨後確認這兩個漏洞確實存在 |
| 官方發布前 | 資安公司 Sansec 指出，網路上已出現名為 PHP2Shell 的疑似漏洞利用工具，並推測官方公告後 15 分鐘內就可能出現大規模攻擊 |
| 10 月 21 日晚上 10 點 | PHP 官方如期釋出修補版本 8.5.12、8.4.27、8.3.36、8.2.35 |
最麻煩的地方在於：官方還沒公布細節，攻擊工具就已經在流傳了。 所以這次不能等「有空再更新」，越快越好。
這兩個漏洞的危險性在哪裡？
這兩個漏洞都屬於 RCE（Remote Code Execution，遠端程式碼執行）。
用白話來說：攻擊者有辦法在你的網站伺服器上，執行他自己想執行的程式，而且不需要先登入你的網站。
一旦成功，可能發生的事情包括：
- 竄改網站內容（例如植入廣告、導向詐騙頁面）
- 讀取或竊取資料庫（會員資料、訂單、聯絡資訊）
- 植入後門程式，長期潛伏在你的網站裡
- 把你的主機拿去當作攻擊其他網站的跳板
這也是為什麼 RCE 幾乎永遠是資安等級最高的漏洞類型。
哪些網站會受到影響？
根據 W3Techs 的統計，全球約有 69.3% 的網站使用 PHP。許多主流的內容管理系統（CMS）與電商平台都是以 PHP 打造的，包括 WordPress（全球市占率最高的 CMS）、Drupal、Joomla、Magento，大量的共享主機服務也是以 PHP 為基礎環境。
我的網站有沒有受影響？一張表看懂
判斷方式很簡單：你的網站是不是跑在 PHP 上？
| 你的網站是用什麼做的 | 受影響嗎？ | 誰負責更新 PHP | 你現在該做的事 |
|---|---|---|---|
| WordPress／WooCommerce，用託管型主機（GoDaddy WordPress 代管、Bluehost、WP Engine 等） | 是 | 主機商 | 到主機後台確認 PHP 版本，查看主機商有沒有發布公告 |
| WordPress／WooCommerce，自己租 VPS 或雲端主機（AWS EC2、GCP、Linode 等） | 是 | 你自己 | 立刻登入主機，套用官方修補 |
| Drupal、Joomla、Magento | 是 | 看你用哪種主機 | 同上兩列 |
| 請工程師客製開發，後端用 PHP | 是 | 開發或維護的廠商 | 聯絡對方，確認是否已更新 |
| 不使用 PHP 的架站平台（Duda Oasis、Wix、Squarespace 等） | 否 | 平台 | 不需要處理 |
| 純靜態網站（只有 HTML／CSS／JS，沒有後端） | 否 | 不適用 | 不需要處理 |
換主機商可以解決這個問題嗎？
不行，這是最常見的誤解。
漏洞存在於 PHP 這個程式語言本身，不在主機商那邊。把 WordPress 從 GoDaddy 搬到 AWS，漏洞會跟著一起搬過去，反過來也一樣。
真正決定你安不安全的，是誰負責更新你網站上的 PHP 版本，以及更新得多快。
情況一：使用託管型主機服務
例如 GoDaddy 的 WordPress 代管、Bluehost、WP Engine 這類服務。PHP 版本通常由主機商統一管理，他們動作快，你就相對安全；動作慢，你只能等。
你該做的事：到主機後台確認目前的 PHP 版本，並查看主機商有沒有發布這次事件的公告。
情況二：自己租用 VPS 或雲端主機
包含自己在 AWS EC2、GCP、Linode 上架設的環境。更新 PHP 是你自己的責任，沒有人會替你做。
這種情況的風險其實最高，因為很多網站架完之後就沒有人在維護了。
你該做的事：立刻登入主機，確認 PHP 版本，套用官方修補。
情況三：使用不含 PHP 的平台
這次的漏洞與你無關。
那麼 AWS 到底有沒有幫助？
有幫助，但幫的是另一件事。
AWS 在 10 月 21 日發布了安全公告，說明 AWS 自家的服務不受這兩個漏洞影響。但如果你是自己在 AWS 上架主機、跑 PHP，PHP 還是要你自己更新，AWS 不會替你做。
AWS 沒辦法替你修補 PHP，但它的防護機制可以大幅降低「被攻擊打中」的機率。根據 AWS 資安長在官方部落格的說明：
- 自動偵測與阻擋：內部威脅情報系統會自動偵測並限制針對這個漏洞的惡意掃描行為
- 大規模事件分析：每分鐘分析超過 2,000 億筆事件
- 蜜罐網路情報：整合 MadPot 蜜罐網路的威脅情報，即時辨識並阻擋已知的漏洞利用攻擊
- 網站防火牆規則：AWS WAF（網站應用程式防火牆）也發布了針對這兩個漏洞的防護設定，在 PHP 更新完成前先擋下一部分攻擊
蜜罐系統的價值，在於能讓團隊在真的被打中之前，就提早發現有人正在嘗試利用漏洞。這次 AWS 就是在官方公布前 4 天，從蜜罐裡看到了第一筆攻擊嘗試。
所以正確的理解是：修補漏洞是你（或主機商）的事，攔截攻擊是雲端平台能幫的忙。 兩者缺一不可。
我們代理的 Duda Oasis／WebCenter 狀況說明
我代理的是 Duda Oasis／WebCenter 平台，針對這次事件，這邊做完整說明。
Oasis 平台不受影響
根據平台方給代理商的說明，Oasis 的基礎架構本身並未使用 PHP，因此這次的 CVE-2026-109618 與 CVE-2026-109619，不會影響到 Oasis 平台上的任何網站。
這跟我們反應快不快沒有關係：這個風險從一開始就不在架構裡。
託管環境
WebCenter 系統與客戶網站皆託管於 AWS。網站本身雖然不受這次漏洞影響，平台團隊與 AWS 在事件發生後，還是對整個託管環境做了檢查與安全更新。
檢查結果
平台團隊完成檢查與測試後，未發現任何系統遭入侵的跡象。Duda 官方的系統狀態頁也顯示，從 10 月 17 日第一筆攻擊嘗試出現到現在，所有系統都正常運作，沒有任何事故紀錄。後續團隊會持續監控狀況，必要時採取相應措施。
從這次事件，我想談談「網站的另外一半」
你看得到的，和你看不到的
大部分人在討論網站的時候，談的是視覺、文案、功能，這些都是看得見的部分。
但一個網站能不能長期穩定運作，很大程度取決於看不見的那一半：程式架構、資安防護、主機維護、漏洞出現時的應變速度。
這些事不會讓網站變好看，也不會直接帶來訂單。可是一旦出事，前面花在網站上的時間和預算，就很難再回收了。
這次的 PHP 事件就是一個很具體的例子：一個你從來沒想過的底層元件出問題，整個網站就可能被接管。
專業的事情，讓專業來
我做了十年以上的 UI/UX 設計，大多是公司內部用的系統。我很清楚自己擅長的是什麼：理解使用者的現況與問題，然後把它解決掉。
資安監控、伺服器維運、全球等級的威脅情報分析，就交給真正在做這件事的人。我做網站，但我不做程式開發，這也是我選擇代理 Duda Oasis／WebCenter 的原因之一：
- 底層交給真正在做這件事、而且有足夠規模去做的團隊
- 我負責的是另外一塊：網站架構規劃、使用體驗、內容策略、品牌呈現
兩邊各自把自己的部分做好，客戶才會真的被服務到。
這對企業主的實際意義
如果你的網站是在 Oasis 平台上，這件事對你的意義是：
你不需要自己去判斷這次的 PHP 漏洞有沒有影響到你。
不需要查自己的網站跑在哪個版本、不需要擔心半夜伺服器被打、不需要出事之後才到處找人處理。
我認為一個網站服務真正該提供的保障，是在問題發生之前就有人顧著，像這次這樣，讓問題燒不到你身上。
如果你的網站正在使用 PHP，現在該做什麼？
即使你不是我的客戶，這幾件事還是建議立刻做：
- 確認 PHP 版本：登入主機後台或控制面板查看；WordPress 也可以在後台「工具 → 網站健康狀態 → 資訊 → 伺服器」看到
- 查看主機商公告：確認你的主機商是否已針對此次事件完成修補
- 立即套用更新：更新到 8.2.35、8.3.36、8.4.27 或 8.5.12 以上；還在用 8.1 以下的，要升級到新版本，或請主機商、維護廠商協助
- 檢查異常跡象：留意網站是否有不明檔案、不明管理員帳號、或異常導向；因為攻擊在官方公布前就出現了，建議從 10 月 17 日開始往後檢查
- 確認備份可用：確保你有一份近期、可還原的網站備份
如果以上這些你看不懂、也不知道該找誰處理，那其實就回到了這篇文章的核心問題：你的網站，現在有人在替你守著嗎？
常見問題
PHP2Shell 是什麼？
PHP2Shell 是 2026 年 10 月曝光的兩個 PHP 漏洞（CVE-2026-109618、CVE-2026-109619）的統稱，名稱來自網路上流傳的漏洞利用工具。兩個都是遠端程式碼執行漏洞，攻擊者不用登入，就有機會在網站主機上執行程式。PHP 官方在 10 月 21 日釋出了修補版本。
怎麼知道我的 WordPress 網站用的是哪個 PHP 版本？
最簡單的方式是進 WordPress 後台，到「工具 → 網站健康狀態 → 資訊 → 伺服器」，就會看到 PHP 版本。也可以登入主機商的控制面板查看。版本低於 8.2.35、8.3.36、8.4.27、8.5.12 的，就需要更新。
我的網站還在用 PHP 7 或 8.1，怎麼辦？
PHP 8.1 以下的版本，官方已經不再提供更新，這次也沒有正式的修補版本。建議直接升級到有支援的版本；PHP 8.2 會在 2026 年 12 月 31 日停止支援，升級的話可以考慮直接上 8.3 以上。升級前記得先備份，並確認佈景主題和外掛都相容。
換主機商可以避開這次的漏洞嗎？
不行。漏洞在 PHP 本身，網站搬到哪裡，漏洞就跟到哪裡。要做的是把 PHP 更新到已修補的版本。
用 Duda、Wix、Squarespace 架的網站需要處理嗎？
不需要。這些平台沒有使用 PHP，不在這次漏洞的影響範圍內。純靜態網站（只有 HTML、CSS、JS）也一樣不受影響。
需要協助嗎？
如果你對自己網站的安全性、架構或現況有疑問，把網址傳給我，我幫你看一下現在這個時間點該不該調整，也會回一份簡單的網站健檢給你，內容包含網站基礎建置狀態，以及在 AI 的時代你的網站能不能跟上這個腳步。
參考來源
- PHP 官方新聞與安全性公告（2026）｜php.net
- AWS Security Bulletin 2026-143-AWS｜Amazon Web Services
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot｜AWS Security Blog
- Using AWS WAF to apply mitigations for PHP2Shell RCE vulnerabilities｜AWS Security Blog
- Duda 系統狀態頁｜Duda Status
- 多家資安公司警告PHP零時差漏洞風暴即將來襲，預告修補的重大漏洞已經曝光｜iThome
- PHP warns admins of two critical flaws, emergency patches coming tomorrow｜BleepingComputer
其他文章
