PHP 重大漏洞是什麼？台灣 2.8 萬網站受影響怎麼辦
30 秒重點2026 年 10 月 21 日，PHP 官方修補 CVE-2026-109618、CVE-2026-109619 兩個不需登入的遠端程式碼執行漏洞，CVSS 4.0 皆 9.2（Wiz 命名為 PHP2Shell）。修補版本是 8.5.12、8.4.27、8.3.36、8.2.35，8.1 以下 PHP 專案不再提供更新。德國、法國、日本等多國網站緊急下線，台灣資安署說逾 2.8 萬個對外網站使用 PHP；CISA 10 月 26 日把兩個漏洞列入已被利用漏洞清單。WordPress 不需要更新，要向主機商確認 PHP 版本。
本文目錄
PHP 重大漏洞在 2026 年 10 月 21 日修補：兩個不用登入就能遠端執行程式的漏洞（嚴重度皆 9.2 分，滿分 10 分），多國政府網站緊急下線，台灣逾 2.8 萬個網站在用 PHP。
這篇整理漏洞是什麼、AI 做了什麼、攻擊從哪天開始、各國與台灣怎麼反應，還有你的網站要怎麼查 PHP 版本、怎麼更新。資料更新到 2026 年 11 月 3 日，最新的一手報導到 10 月 29 日。
| 重點 | 內容 |
|---|---|
| 事件名稱 | PHP2Shell（Wiz Research 命名），TechCrunch 標題稱 PHP-ocalypse |
| 漏洞編號 | CVE-2026-109618、CVE-2026-109619 |
| 嚴重度 | 兩個都是 CVSS v4.0 9.2（滿分 10） |
| 漏洞類型 | 不需登入的遠端程式碼執行（RCE，駭客可以在你的伺服器上跑自己的程式） |
| 修補版本 | PHP 8.5.12、8.4.27、8.3.36、8.2.35，2026-10-21 發布 |
| PHP 8.1 以下 | PHP 專案不再提供更新，要向主機商或 LTS 廠商要回補修正，或升級 |
| 台灣 | 資安署說對外網站逾 2.8 萬個使用 PHP，政府機關網站約 200 個（自由財經，2026-10-22） |
| 最新進展 | CISA 2026-10-26 把兩個漏洞列入「已被利用漏洞」清單 |
PHP 重大漏洞是什麼？PHP2Shell 的兩個 CVE
PHP 是網站後端最常用的程式語言之一，WordPress、Drupal 都是用它寫的。W3Techs 統計，在能偵測出後端語言的網站裡，70.2% 用 PHP（2026-08-27 快照）。
這次壞的是 PHP 本身，像網站的門鎖壞了，不用鑰匙也可能打得開。官方公告的兩個漏洞：
| 漏洞 | 類型 | 白話說明 |
|---|---|---|
| CVE-2026-109618 | 記憶體不足（OOM）引發的 RCE | 伺服器記憶體不夠時，PHP 在請求資料只初始化一半的狀態被中斷，之後清理程序把這份無效資料當成有效資料處理 |
| CVE-2026-109619 | 過期狀態引發的 RCE | 請求結束、記憶體釋放後，內部狀態還指著它；同一個 worker 處理的下一個請求，可能用到這份過期狀態 |
影響範圍是所有處理網頁請求的 PHP 安裝，包括 PHP-FPM、Apache modphp、php-cgi、FrankenPHP、LiteSpeed，官方認為 modphp 的風險最高（PHP 官方公告）。Wiz 說程式碼已經存在十年以上，影響的版本可追溯到 PHP 5.4。
PHP2Shell 是誰發現的？AI 做了什麼
發現過程有兩家公司參與：Wiz Research 和資安公司 Calif。Wiz 的時間線如下（Wiz Research，2026-10-21）：
| 日期 | 事件 |
|---|---|
| 8 月 19 日 | Wiz 發現第一個 PHP 漏洞 |
| 8 月 20 日 | 確認可對 Drupal 做未驗證 RCE |
| 8 月 21 日 | 確認可對 WordPress 做未驗證 RCE |
| 8 月 24 日 | 通報 PHP 安全團隊 |
| 9 月 21 日 | PHP 確認並開始協調修補 |
| 10 月 21 日 | 公開修補 |
Wiz 說研究過程用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol，其中 Gemini 4 Argon 在找漏洞、寫攻擊程式、偵測攻擊和驗證修補上都有貢獻。
TechCrunch（Zack Whittaker，2026-10-24）的寫法不同：Calif 在 OpenAI 資助的 PHP 程式碼稽核中被列為發現者，Wiz 驗證了 Calif 做的概念驗證程式；Calif 說 AI 協助了攻擊程式的開發，但主要工作靠研究員原有的知識，沒有模型能用簡單提示找出所有漏洞。TechCrunch 也寫到，這兩個漏洞 2024 年就曾被發現，當時被認為不可利用，沒有修補。
PHP 漏洞攻擊什麼時候開始？時間線與規模
攻擊在修補前就開始了。下表整理各報導的時間點：
| 時間 | 事件 | 出處 |
|---|---|---|
| 10 月 17 日 | Amazon 的誘捕機偵測到第一次攻擊嘗試，修補前 4 天 | SecurityWeek |
| 10 月 20 日 | 兩個漏洞資訊外洩，公開前約 12 小時已有多個概念驗證程式 | SecurityWeek |
| 10 月 21 日 | 修補版發布（UTC 14:00 預告，台灣時間晚上 10 點） | PHP 官方預告 |
| 10 月 21 日起 | Cloudflare 執行長 Matthew Prince：公告前 10 小時有數千次嘗試，公告後 45 分鐘數萬次，2 小時內數十萬次，之後達數百萬次 | SecurityWeek |
| 10 月 23 日 | 專家意見分歧：Google 的 John Hultquist 說威脅可行且非常嚴重；VulnCheck 的 Spencer McIntyre 說許多公開的概念驗證程式無法運作 | The Record |
| 10 月 24 日 | Perplexity 研究員的誘捕伺服器被打到跑出 35 個 shell（駭客取得的遠端操作視窗） | SecurityWeek，2026-10-26 |
| 10 月 26 日 | CISA 把兩個漏洞列入已被利用漏洞清單 | SecurityWeek、CISA |
Cloudflare 的數字是「嘗試」次數，不是成功次數。截至 10 月 29 日，Bitsight 的結論是沒有已驗證的大規模入侵；Tenable 自己故意暴露的 5 個有漏洞的 PHP 站，到 10 月 29 日也都沒被入侵。真實受害網站的名單，目前沒有獨立證實的報導。
修補進度方面，Bitsight（2026-10-29）統計：先前有漏洞的 947 萬台伺服器，33.5% 已換成修補版本；仍受支援的 8.2 到 8.5 一週內修補約 68.6%，8.1 以下只有 6.4%；暴露在網路上的 PHP 約 59.5% 是 8.1 以下的版本。
各國政府怎麼處理 PHP 漏洞？德國、法國到美國 CISA 與 NSA
各國做法不一，下表是各報導的整理：
| 國家或機構 | 做法 | 出處 |
|---|---|---|
| 德國 | 數位轉型與政府現代化部的部分網站下線 | Al Jazeera |
| 法國 | 內政部停用地方行政機關（prefecture）網站 | Al Jazeera、Connexion France |
| 比利時、荷蘭、芬蘭、捷克 | 為套用修補而關閉網站；荷蘭 RIVM 多個網站下線 | Al Jazeera、Newcastle Herald |
| 英國 | 首相辦公室說部分「有限」的政府服務可能暫時離線 | AP |
| 美國 CISA | 盤點所有跑 PHP 的系統、優先修補對外系統；無法更新或在 8.1 以下的單位，先下線到修好為止；網站應用程式防火牆（WAF）可提供部分保護 | CISA |
| 美國 NSA | 在 X 發文建議使用 PHP 的組織準備更新，無法立即更新就先下線 | The Hill |
日本怎麼處理 PHP 漏洞？首相發文、服務停機、老遊戲結束
日本首相高市早苗 10 月 21 日晚上 9 點 55 分（日本時間）在 X 發文，請各網站準備好在晚上 11 點公開的修補一出就立刻套用；難以立即套用的話，暫時停止網站也是降低風險的有效做法（Impress Watch、GIGAZINE）。
| 日本的影響 | 內容 | 出處 |
|---|---|---|
| 緊急維護的服務 | pixiv、ニコニコ、BASE、BOOK☆WALKER、アニメイト，以及《ウマ娘》、《ポケモンスリープ》等手遊 App | GIGAZINE |
| 其他停機 | DMM.com 等大型服務緊急維護或停止 | Impress Watch |
| 老遊戲結束 | 《僕の魔界を救って！》營運超過 10 年，10 月 22 日宣布結束；《ワールドクエスト》10 月 21 日宣布結束，營運方說是為了優先保護用戶資訊 | GAME*Spark |
台灣受 PHP 漏洞影響多少網站？資安署怎麼說
資安署署長蔡福隆說明，台灣對外網站逾 2.8 萬個使用 PHP，其中政府機關網站約 200 個；實際受影響的數量會比盤點數低，因為並非所有 PHP 版本都受影響（自由財經，2026-10-22）。資安署在修補釋出後約 3 小時內發出警訊，建議的順序是：
- 優先更新到已修補版本。
- 無法立即更新，就在網站前面加 WAF。
- 兩者都做不到，先把網站暫時下架，修補完成後再恢復對外服務。
後續進度（聯合報，2026-10-29，統計到 10 月 28 日下午 5 點）：近 300 個政府機關需要處理、近 800 個網站或系統受影響、已修補 460 個，約 22 個老舊或修補較慢的網站先暫時關閉。這個數字的盤點口徑比 10 月 22 日的「約 200 個」大，兩個數字不能直接相減。
PHP 版本怎麼查？我的網站要怎麼更新
先看你的 PHP 版本落在哪一行，再照下表處理（版本號出自 PHP 官方公告）：
| 你的 PHP 版本 | 要更新到 | 備註 |
|---|---|---|
| 8.5 | 8.5.12 以上 | 安全支援到 2029-12-31 |
| 8.4 | 8.4.27 以上 | 安全支援到 2028-12-31 |
| 8.3 | 8.3.36 以上 | 安全支援到 2027-12-31 |
| 8.2 | 8.2.35 以上 | 安全支援到 2026-12-31，之後會結束 |
| 8.1 以下 | 升級到支援中的版本 | PHP 專案不再提供更新；部分 Linux 發行版與 LTS 廠商有回補修正，要向廠商確認 |
PHP 官方也提醒，Linux 發行版和 LTS 廠商提前收到修補，要看廠商提供的更新套件，所以主機商可能已經把修補回補到舊版號裡。
怎麼查版本：
- WordPress 後台：工具 > 網站健康狀態 > 資訊 > 伺服器（英文介面是 Tools > Site Health > Info > Server），WordPress.org 的公告列出的路徑。
- 主機商後台：許多主機商的管理面板會顯示 PHP 版本。
- 命令列：輸入
php -v，會顯示 PHP 與 Zend 版本。
WordPress.org 說，這兩個漏洞不是 WordPress 專屬，WordPress 沒有需要更新的版本，也沒有計畫發布。所以只更新 WordPress 核心、外掛和佈景補不到，要在 PHP 執行環境更新，也就是向主機商確認。主機商可能已經在更新 PHP，並加上 WAF 規則。
照順序處理：
| 步驟 | 要做什麼 | 注意 |
|---|---|---|
| 1 | 問主機商 PHP 更新了沒 | 共用主機、託管 WordPress 由主機商更新 |
| 2 | 查版本、對照上表 | 8.1 以下要升級 |
| 3 | 不能馬上更新，先加 WAF | 只降低風險（CISA） |
| 4 | WAF 也沒有，先暫時下線 | CISA 與資安署都這樣建議 |
自己管理伺服器、暫時不能更新的人，PHP 官方公告列出的緩解設定如下。官方的說法是，這些只降低特定攻擊路徑的風險，沒有完整的緩解，更新才是唯一安全的做法：
| 設定 | 針對的漏洞 | 要點 |
|---|---|---|
memory_limit = -1，並設定 post_max_size（不傳檔 8M、要傳檔 32M） | CVE-2026-109618 | 用 FPM pool 或 Apache 設定的 php_admin_value 設，讓應用程式無法覆寫；不要用 RLIMIT_AS 或 RLIMIT_DATA 取代 |
session.upload_progress.enabled = 0 | CVE-2026-109619 | 在 php.ini 或 FPM pool 設定並重啟所有 worker，不能靠 ini_set() 或 .user.ini |
2026 年 10 月 23 日，PHP.net 另外發了一則參考公告：CVE-2026-115560 是另一個「不太可能發生」的 RCE 途徑，需要程式在執行期把 session.serialize_handler 改成 php，而且 session 上傳進度仍開著才會觸發；官方建議在下一個定期修補版本前先把 session.upload_progress.enabled 設成 0，完整公告會隨下次發布公開。
更多資安與 AI 事件查證，可以看 幣安被盜 63 億美元：北韓駭客 10 個都市傳說查證 和 AI 歌手衝上韓國 Melon 排行榜第 2。
查證日期：2026-11-03｜作者：氣球柯男，加密貨幣講者、獲 OKX、幣安等 6 座產業獎項
常見問題
PHP 是什麼？
PHP 是網站後端最常用的程式語言之一，WordPress、Drupal 都是用它寫的。W3Techs 統計，能偵測出後端語言的網站裡有 70.2% 用 PHP（2026-08-27 快照）。
PHP 重大漏洞是什麼？
2026 年 10 月 21 日 PHP 官方修補兩個漏洞，編號 CVE-2026-109618 與 CVE-2026-109619，都是不需登入的遠端程式碼執行（RCE），駭客可以在伺服器上執行自己的程式。Wiz Research 把這組漏洞命名為 PHP2Shell。
PHP2Shell 的嚴重度有多高？
兩個漏洞都是 CVSS v4.0 9.2，滿分是 10。PHP 官方公告把它們列為 critical，影響所有處理網頁請求的 PHP 安裝，官方認為 Apache mod_php 的風險最高。
PHP 要更新到哪個版本才安全？
8.5 更新到 8.5.12、8.4 到 8.4.27、8.3 到 8.3.36、8.2 到 8.2.35 以上。8.1 以下 PHP 專案不再提供更新，要向主機商或 LTS 廠商要回補修正，或升級到支援中的版本。
PHP 版本怎麼查？
WordPress 後台走 工具 > 網站健康狀態 > 資訊 > 伺服器（Tools > Site Health > Info > Server），或看主機商後台，自己管理伺服器就在命令列輸入 php -v。
只更新 WordPress 能解決 PHP 漏洞嗎？
不能。WordPress.org 說這兩個漏洞不是 WordPress 專屬，沒有需要更新的 WordPress 版本，也沒有計畫發布。要在 PHP 執行環境更新，也就是向主機商確認。
PHP 8.1 以下的網站怎麼辦？
PHP 專案已不再提供更新。官方建議向 Linux 發行版或 LTS 廠商取得回補修正，或升級到支援中的版本；來不及處理時，CISA 與台灣資安署都建議先把網站暫時下線。
台灣有多少網站受 PHP 漏洞影響？
資安署 2026 年 10 月 22 日說，對外網站逾 2.8 萬個使用 PHP，政府機關網站約 200 個。10 月 29 日聯合報報導，截至 10 月 28 日下午 5 點，近 300 個政府機關需處理、近 800 個網站或系統受影響、已修補 460 個。
PHP 漏洞已經有網站被攻破了嗎？
有誘捕伺服器被攻破：Perplexity 研究員的誘捕機 10 月 24 日被打到跑出 35 個 shell，CISA 10 月 26 日列入已被利用漏洞清單。Bitsight 10 月 29 日的結論是沒有已驗證的大規模入侵，真實受害名單沒有獨立證實的報導。
PHP 漏洞攻擊從什麼時候開始？
Amazon 的誘捕機 10 月 17 日偵測到第一次攻擊嘗試，比 10 月 21 日的修補早 4 天。Cloudflare 執行長說，公告後 2 小時內嘗試達數十萬次，之後達數百萬次。
來不及更新 PHP 時有什麼緩解辦法？
PHP 官方列出的設定包括 memory_limit=-1 搭配 post_max_size，以及 session.upload_progress.enabled=0 並重啟所有 worker。官方說這些只降低特定路徑的風險，沒有完整緩解，更新才是唯一安全的做法。
PHP 漏洞真的是 AI 發現的嗎？
AI 有參與，但角色有不同說法。Wiz 說研究過程用了 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol；TechCrunch 引述 Calif，說 AI 協助開發攻擊程式，主要工作靠研究員原有的知識。
新手卡關也沒關係
看不懂？直接問我們
新手卡關、步驟看不懂、註冊入金有問題，都可以直接問。LINE 小助手一對一回覆你的問題；公開社群裡有很多一樣剛入門的朋友，可以一起討論。
- 註冊、身分驗證卡住
- 入金、出金不會操作
- 畫面跟文章不一樣
提醒：我們不會主動私訊跟你要密碼、驗證碼，也不會要求你轉帳；遇到這類訊息請直接當成詐騙。
資料來源
- PHP.net 2026 年安全公告（重大 RCE 修補與參考公告）（php.net）
- Critical PHP Security Release（wordpress.org）
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet（wiz.io）
- PHP-ocalypse: How two critical web bugs almost broke the internet（techcrunch.com）
- PHP2Shell Exploitation Started Days Before Patches（securityweek.com）
- PHP2Shell Exploitation Moves From Probes to Working Shells（securityweek.com）
- Reports of PHP bug exploitation attempts grow as experts downplay viability of exploits（therecord.media）
- Critical Vulnerabilities in PHP Require Immediate Patching（cisa.gov）
- NSA warns organizations to patch security flaws identified by AI（thehill.com）
- World leaders warn of security flaws found in PHP programming language（aljazeera.com）
- 国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策（watch.impress.co.jp）
- 「PHP」重大脆弱性問題で長年運営ゲーム2作品が相次いでサービス終了（gamespark.jp）
- PHP重大漏洞！台灣逾2.8萬網站使用 資安署：無法修補應先下架（ec.ltn.com.tw）
- PHP漏洞衝擊近300政府機關 資安署曝進度：完成460網站修補（udn.com）
- Usage statistics of PHP as server-side programming language（w3techs.com）
