admin
2026 / 10 / 22 台灣資安署緊急警示
PHP核心漏洞
不是更新外掛
就能解決。
PHP2Shell 兩項重大漏洞，可能在特定環境下造成免驗證遠端程式碼執行。 WordPress站長、WHM維運人員，現在要先確認實際PHP套件是否已修補。
立即檢查PHP版本$ vulnerability --status
[2026-10-21] PHP SECURITY RELEASE
ISSUES DETECTED 02
SEVERITY 9.2 / 10
EXPLOIT IMPACT REMOTE CODE EXECUTION
CVE-2026-109618
CVE-2026-109619
PATCH AVAILABLE → VERIFY INSTALLED VERSION
NOW
如果網站仍使用標準PHP 8.2.34，應優先更新至8.2.35或其他已修補的受支援分支。如果使用cPanel EasyApache 4的PHP 8.1，則可核對官方回溯修補套件ea-php81 8.1.34-5；若是CloudLinux或其他供應商套件，必須確認供應商的套件發行版本與安全公告。修改PHP設定或開啟Cloudflare防火牆，皆不能取代安全更新。
PHP2Shell是什麼？10月21日兩項9.2分重大漏洞已釋出修補
這次資安事件並不是某個WordPress外掛或佈景主題單獨出現程式錯誤，而是網站底層使用的PHP執行環境存在重大安全缺陷。
PHP廣泛用於WordPress、Drupal、Joomla、Magento，以及企業自行開發的會員、購物與管理系統。當底層執行環境受影響，即使WordPress後台沒有開放陌生人登入，也不代表已排除PHP核心的漏洞風險。
PHP安全團隊於2026年10月21日公布緊急安全修補，處理CVE-2026-109618與CVE-2026-109619。兩項漏洞的CVSS v4.0嚴重度均為9.2，符合條件的受影響環境可能遭到未經身分驗證的遠端程式碼執行。
台灣數位發展部資通安全署於10月22日呼籲各機關、學校與企業，儘速盤點所有PHP系統、完成更新，並檢視日誌及異常存取紀錄。
記憶體不足處理異常
PHP在記憶體不足時，可能出現內部資料只完成部分初始化的情形；後續清理程序若錯誤處理這些資料，可能造成記憶體損壞及遠端程式碼執行風險。
請求間殘留的全域狀態
部分請求使用的內部狀態，在記憶體釋放後可能仍被後續請求使用，形成已釋放記憶體再利用的安全風險。
為什麼沒有登入WordPress後台，也可能受到攻擊？
本次漏洞涉及PHP處理網頁請求的內部流程。PHP官方已確認，部分Apache mod_php情境可以在應用程式碼執行之前就觸發攻擊，因此限制後台登入IP、啟用管理員雙重驗證或變更WordPress登入網址，都不能視為底層漏洞已修補。
不過，使用受影響版本不等於已經被入侵。版本盤點、更新套件及事後入侵調查，是三個不同的工作。
PHP哪些版本受影響？8.2.34、8.1與官方修補版本對照
PHP官方已針對仍受支援的分支推出緊急修補。最重要的區別是：標準PHP版本號與Linux或cPanel套件的修補發行編號，不一定是同一件事。
| PHP分支 | 原始受影響版本 | PHP官方修補版本 | 處理方式 |
|---|---|---|---|
| 8.5 | 8.5.11及更早 | 8.5.12 | 更新至修補版本 |
| 8.4 | 8.4.26及更早 | 8.4.27 | 更新至修補版本 |
| 8.3 | 8.3.35及更早 | 8.3.36 | 更新至修補版本 |
| 8.2 | 8.2.34及更早 | 8.2.35 | 立即修補，並規劃未來升級 |
| 8.1及以下 | 已停止PHP上游維護 | 沒有新的正式分支版本 | 核對廠商回溯修補或遷移 |
上表為PHP上游標準發行版的修補對照。發行版、CloudLinux、EasyApache 4等廠商可能保留較舊三段式PHP版本號，另外以套件發行編號加入修補，不可直接把上表當成所有廠商套件的唯一判斷標準。
PHP 8.2.34算安全嗎？
如果網站使用的是未經廠商回溯修補的標準PHP 8.2.34，則仍未包含這次10月21日的緊急安全修補，應更新至8.2.35。
如果使用主機商或Linux發行版維護的套件，即使`php -v`仍顯示8.2.34，也必須再查看套件發行編號、套件變更紀錄及廠商公告，不能單純依版本字串判定結果。
PHP 8.2更新到8.2.35，就能一直使用嗎？
不建議。PHP官方已宣布8.2分支於2026年12月31日結束安全支援。因此目前可先完成8.2.35緊急修補，接著安排WordPress、外掛與自訂程式相容性測試，逐步遷移到更新且受支援的PHP分支。
判斷漏洞是否修復，需要核對所使用的PHP來源、實際網站使用分支，以及已安裝套件的修補內容。
PHP版本檢查工具：輸入版本，先判斷下一步怎麼做
網站管理者可輸入目前查到的PHP版本，並選擇實際使用的套件來源。本工具依2026年10月22日官方修補資訊提供初步建議，不連線到你的主機、不掃描網站，也不會把結果當成已實際完成修補的證明。
按下「產生版本判讀」，查看這個PHP版本應優先處理的方向。
注意：是否真正安全，須由主機管理者確認套件版本、供應商修補與實際Web執行環境。
WHM與SSH看到不同PHP版本，哪個才算數？
同一台WHM伺服器可能安裝多個PHP分支，而不同網域可能使用不同版本。WHM的MultiPHP Manager負責各網域的PHP版本配置，EasyApache 4則管理可安裝或更新的PHP套件。
SSH輸入`php -v`看到的是命令列預設PHP，不保證與Apache、PHP-FPM或LiteSpeed對某個網站實際使用的PHP相同。因此，多網站伺服器不能只查一次CLI版本就宣布全站完成修補。
如使用EasyApache 4，可另外檢查指定分支的CLI執行檔，例如`/opt/cpanel/ea-php82/root/usr/bin/php -v`，再對照網域的MultiPHP配置及套件發行紀錄。
WHM如何安裝PHP2Shell修補？從MultiPHP到EasyApache 4的6步驟
對同時管理多個WordPress客戶網站的維運人員，建議採用「盤點、辨識供應商、備份、修補、驗證、測試」的順序。這些操作涉及伺服器環境，請使用適當管理權限並確認可回復方案。
盤點每個網站的PHP分支
登入WHM，搜尋MultiPHP Manager。確認所有網域、子網域及仍公開的測試站實際指定8.1、8.2、8.3或其他分支。不要只看主要網站。
確認PHP套件由哪個供應商提供
透過EasyApache 4與作業系統套件資訊，區分一般cPanel EA4、CloudLinux或其他維護來源。回溯修補的版本編號不一定相同。
備份站點、資料庫與重要設定
保存WordPress檔案、資料庫及必要主機設定，確認備份可以還原。對購物、付款、表單與會員系統，應評估維護時段及回復方式。
更新EasyApache 4的PHP套件
在WHM EasyApache 4檢查官方修補更新，或由具有root權限的人員依cPanel公告更新。更新前先確認系統與套件來源相符。
確認安全修補真的已安裝
不能只看到更新成功畫面，還須核對PHP套件發行編號、RPM變更紀錄或廠商安全公告，確認兩項CVE已納入修補。
測試網站功能並檢查可疑紀錄
測試前台、WordPress後台、登入、表單、付款、會員、API與排程。另檢視更新前後的日誌、異常帳號及不明檔案。
cPanel官方公布的修補指令
以下為cPanel官方提供、適用於對應環境的更新方式。這不是要直接貼進WordPress文章編輯器執行的程式；只有確認自己具備root權限、符合套件來源及已完成備份時，才由主機管理員在SSH評估執行。
yum clean all
yum makecache
/scripts/rpmup上述三行順序對應cPanel公告中的「更新套件索引，再執行套件更新」操作。使用CloudLinux、特殊映像檔或不同套件管理工具的主機，應依供應商文件判斷，不可一概套用。
怎麼驗證PHP 8.1回溯修補已安裝？
cPanel官方提供查看套件變更紀錄的方法。若伺服器實際使用ea-php81，可由管理員核對該套件是否列出對應CVE；這比單看`php -v`的三段式數字更接近修補狀態。
rpm -q --changelog ea-php81-php-cli | grep -m1 CVE-2026-109618PHP 8.2的EA4套件則應查詢`ea-php82-php-cli`。如果指令沒有輸出，可能是套件未安裝、套件名稱或變更紀錄格式不同；應進一步核對，不可直接推論已遭攻擊。
rpm -q --changelog ea-php82-php-cli | grep -m1 CVE-2026-109618cPanel與WHM自身需要更新嗎？
需要一併檢查。cPanel本次公告除PHP套件外，也列出多個控制面板分支的已修補版本，包括11.138.0.18、11.136.0.50、11.134.0.66與11.110.0.153。應依主機當前使用的支援分支核對，而不是要求所有環境升到同一個版本號。
PHP 8.1、8.0、7.4甚至7.3以下怎麼辦？舊版不一定完全沒救
PHP官方已停止維護8.1及更舊分支，不再提供這些分支的新正式版本；但部分主機廠商已針對本次漏洞發布回溯修補，因此不能說「PHP 8.1完全沒有修復方法」。
以上是一般cPanel EasyApache 4官方列出的套件版本，不代表CloudLinux或其他廠商使用相同發行編號。若主機使用CloudLinux提供的PHP套件，請核對其專屬修補套件及官方事件公告。
PHP官方此次亦公布7.4、8.0及8.1的最小化原始碼回溯修補，提供自行編譯或缺乏延長維護服務的管理者參考；這些原始碼補丁不等於重新啟動整個舊分支的長期支援。
PHP 7.3、5.6等更舊系統能怎麼處理？
cPanel公告提醒，PHP 7.4以下應透過TuxCare Extended Lifecycle Support等適當延長維護機制，或安排版本升級。CloudLinux也可能提供不同的舊分支套件，但實際可用修補仍須依其公告確認。
如果網站因舊版外掛、自訂PHP或特殊套件而無法升級，應先確認是否有可信的廠商安全回溯修補，必要時暫時限制對外服務，並安排後續程式相容性改造。
把PHP 7.4切到8.1就算修好了嗎？
不算。如果切換後的8.1同樣沒有安裝本次漏洞修補，只是從一個受影響的環境換到另一個受影響的環境。必須確認目標版本的實際修補狀態，而不是只看數字變大。
為什麼不建議緊急時直接全部升級PHP 8.5？
本次緊急修補涵蓋8.2、8.3、8.4及8.5，網站不必為了修補而立即跨越所有大版本。從8.2.34升到8.2.35是同分支安全修補；從7.4或8.1跨到8.5，則可能遇到舊外掛、函式、擴充套件及自訂程式相容性問題。
應先在可確認安全的環境中完成此次修補，再依站點狀況安排主要版本升級與回歸測試。
關閉session.upload_progress.enabled有用嗎？有局部效果，但不能當作修補
這次的PHP2Shell事件，網路上有人建議調整以下設定：
session.upload_progress.enabled = Off依PHP官方10月21日安全公告，將這項設定設為0並重新啟動所有相關PHP workers，可以阻擋CVE-2026-109619部分已確認、與session upload progress有關的攻擊路徑，但不能阻擋所有可能變體，也不會完整修補另一項CVE。
因此，正確解讀應是：它屬於無法立即更新時可評估的局部緩解，不是安全更新的替代品。而且設定應在請求處理前生效，不能只依賴應用程式執行時的`ini_set()`。
關閉後會影響WordPress媒體庫上傳嗎？
這個設定控制的是PHP原生的session上傳進度追蹤，不等於停用整個HTTP檔案上傳功能。一般WordPress媒體庫不一定受影響，但若某些舊系統特別依賴PHP的session upload progress機制，進度顯示可能失效，因此仍須測試。
其他設定、限制來源IP及WAF能完全阻止PHP2Shell嗎？
不能。PHP官方另外列出一些可降低特定攻擊路徑暴露的暫時措施，但明確指出沒有完整的設定型緩解方案。WAF、地區限制、輸入大小限制與工作程序重啟等措施，可作為過渡防護，卻不能把未修補的PHP判定為安全。
尤其不要在未做容量與效能評估的情況下，隨意改動記憶體限制或表單上傳大小。緩解設定可能影響系統資源與既有業務功能，仍需要專業測試。
WordPress網站會被駭嗎？更新核心、外掛與Cloudflare還不夠
WordPress核心、佈景主題、外掛與PHP本身是不同的安全維護層。把WordPress更新到最新版，不代表伺服器的PHP已包含CVE-2026-109618與CVE-2026-109619修補。
相反地，即使已更新到PHP 8.2.35，如果網站仍有高風險外掛、弱密碼、錯誤權限或未經維護的自訂程式，仍可能面臨其他入侵風險。
Cloudflare已啟用Managed WAF，還需要修補PHP嗎？
需要。Cloudflare已於10月21日公開說明部署PHP2Shell相關WAF防護，能降低部分惡意請求風險；但WAF保護效果取決於流量是否經過防護、規則涵蓋範圍及攻擊方式。
如果源站可被直接存取，或者還存在未經代理保護的子網域、測試站與其他PHP應用，仍可能留下攻擊面。即使對非台灣IP施加挑戰，也不能取代PHP安全更新。
Apache mod_php、PHP-FPM、LiteSpeed哪個需要優先關注？
PHP官方指出，所有接收網頁請求的受影響PHP環境都需要評估，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed。
官方認為Apache mod_php風險尤其高，因為已有在應用程式碼執行之前觸發攻擊的驗證案例。但PHP-FPM或LiteSpeed並非完全不受影響，不能因此略過修補。
更新後出現WordPress 500錯誤怎麼辦？
先檢查PHP錯誤日誌、擴充套件及網站使用的PHP分支，確認是否由程式相容性、缺少擴充套件、快取或其他部署問題造成。不要為了讓網站暫時恢復顯示，就把正式服務長期退回未修補的PHP。
若業務系統無法立即恢復，應評估使用已修補的替代環境或限制服務，並從可信備份及測試環境修正問題。網站能開啟，不等於漏洞已修補。
PHP更新後就安全了嗎？再做網站功能驗收與入侵跡象排查
更新是必要處置，但若攻擊者在修補前已取得伺服器權限，單純替換PHP套件可能不足以清除惡意檔案或不明帳號。
資安署提醒，各單位完成更新後仍應檢視日誌及異常存取紀錄。對多網站WHM伺服器而言，也須考慮不同客戶帳號、測試站及共用主機資源的風險。
哪些異常值得檢查？
WordPress、控制面板或主機是否出現非預期的高權限帳號。
網站根目錄、外掛與可寫入目錄是否新增未知PHP檔案。
是否有非預期的程序、網路連線或定期執行任務。
是否出現不尋常請求、重複錯誤或時間點可疑的存取模式。
是否出現不明導轉、垃圾文章、異常廣告或可疑外部腳本。
確認是否有不認識的排程及自動執行內容。
這些是一般入侵調查線索，不是此次漏洞專有的感染特徵。沒有發現上述現象，不能直接證明伺服器百分之百沒有遭入侵。
若真的懷疑遭入侵，應先做什麼？
若觀察到不明程式碼、異常管理員帳號或可疑程序，應先評估隔離受影響服務並保全相關日誌與證據，再進行憑證輪替、檔案完整性調查，以及從可信環境復原。
不建議在尚未釐清事故範圍前，直接刪除所有可疑檔案或覆寫日誌，避免破壞後續調查所需的證據。
多網站WHM主機應先修哪一個？
應優先處理公開對外、實際執行未修補PHP的網站及API，並同步盤點同主機的其他網域與測試站。若使用共用主機環境，還要確認不同帳號的權限隔離及是否存在共用的高風險服務。
FAQ｜PHP2Shell、PHP 8.1／8.2與WHM修補12大問題
Q1：PHP2Shell是什麼？
PHP2Shell是近期用來稱呼PHP兩項重大核心漏洞的名稱，涉及CVE-2026-109618及CVE-2026-109619，可能在受影響環境下造成遠端程式碼執行。
Q2：這次PHP漏洞有多嚴重？
兩項漏洞的CVSS v4.0評分均為9.2，屬於Critical嚴重等級，應優先處理。
Q3：PHP漏洞已經有修補方法了嗎？
有。PHP官方已於2026年10月21日釋出8.2.35、8.3.36、8.4.27及8.5.12安全版本；部分主機廠商也提供舊版回溯修補。
Q4：PHP 8.2.34需要更新嗎？
標準PHP 8.2.34尚未包含本次官方修補，應更新至8.2.35。若是特定Linux廠商提供的回溯修補套件，則需核對其套件版本和安全公告。
Q5：PHP 8.1沒有官方更新怎麼辦？
PHP上游已停止支援8.1，但cPanel EasyApache 4已列出ea-php81 8.1.34-5修補套件。使用其他主機環境者須確認所屬廠商是否提供安全回溯修補，並規劃遷移。
Q6：PHP 7.4和8.0也能修補嗎？
cPanel已提供部分EasyApache 4舊版分支的修補套件，但不代表PHP上游重新支援這些版本。應視為過渡措施。
Q7：WordPress更新至最新版就安全嗎？
不一定。這次是PHP底層漏洞，因此WordPress核心與外掛更新，不能取代PHP安全修補。
Q8：WHM在哪裡查看網站PHP版本？
可在WHM的MultiPHP Manager查看各網域使用的PHP分支，並透過EasyApache 4確認已安裝套件與更新狀態。
Q9：關閉session.upload_progress.enabled可以修好漏洞嗎？
不能完整修好。PHP官方指出關閉此設定並重新啟動相關workers，可阻擋CVE-2026-109619部分已確認的攻擊路徑，但仍應安裝安全更新。
Q10：PHP-FPM或LiteSpeed不會受到影響嗎？
不是。PHP官方將多種Web請求處理環境列為需要評估與更新的範圍，包括PHP-FPM及LiteSpeed。
Q11：有Cloudflare防火牆，就不用更新PHP嗎？
不行。WAF可以提供額外防護，但無法取代修補PHP核心漏洞。
Q12：網站目前正常開啟，是否代表沒有被駭？
不能這樣判斷。部分入侵行為不會立即造成網站無法使用，仍應檢查日誌、檔案變更、異常帳號及其他安全紀錄。
結論：PHP2Shell已有修補，但完成更新不等於完成全部安全工作
PHP於2026年10月21日修補兩項9.2分重大漏洞，台灣資安署也在10月22日要求相關單位儘速完成系統盤點與更新。
對WordPress站長來說，第一個工作是確認網站實際PHP版本；對WHM／cPanel維運人員來說，則必須進一步區分網域版本、PHP套件來源及廠商回溯修補內容。
若使用未經回溯修補的PHP 8.2.34，應更新至8.2.35；若仍使用8.1、8.0或7.4，則需確認EasyApache 4或其他維護供應商是否已提供本次安全修補。
Cloudflare與PHP暫時設定只能降低部分風險，不能取代修補。完成後還需要測試網站功能、檢查日誌與異常活動，並安排淘汰已停止官方支援的PHP分支。
官方來源與事實查核
- 資通安全署｜PHP釋出緊急安全更新，籲儘速完成修補2026年10月22日，台灣官方對CVE、評分與更新的說明。
- PHP官方｜Security advisory: Critical remote code execution vulnerabilities2026年10月21日，漏洞機制、官方修補版本及局部緩解措施。
- cPanel官方｜CVE-2026-109618及CVE-2026-109619修補公告EasyApache 4、CloudLinux、舊版回溯套件與更新指令。
- Google Cloud｜PHP核心漏洞與部署修補建議PHP漏洞影響及不同部署環境的應變建議。
- Cloudflare｜PHP2Shell WAF防護公告WAF緩解及防護限制。
- PHP官方｜Supported Versions確認各PHP分支的官方維護期限。
- NHS England Digital｜PHP2Shell資安警示漏洞嚴重度、影響範圍與補丁資訊。
本文資料基準為2026年10月22日。PHP版本與修補套件可能持續更新，正式操作前仍應核對所使用的供應商公告。本文提供版本資訊及防禦性維運建議，不代表已對任何網站完成漏洞掃描、套件修補或入侵鑑定。
