PHP 官方在 2026 年 10 月 21 日發布緊急資安更新，修補兩個嚴重漏洞，攻擊者不用登入就可能在網站伺服器上執行程式。WordPress 是用 PHP 跑的，所以就算 WordPress 和外掛都是最新版，只要伺服器上的 PHP 還沒更新，網站一樣有風險。現在要做的事很明確：確認網站用的 PHP 已經升到 8.5.12、8.4.27、8.3.36 或 8.2.35 以上（看你用的是哪一支）。自己管伺服器的人今天就更新；用共享主機或交給別人維護的人，去問主機商或工程師更新好了沒。
這次發生了什麼事
10 月 21 日，PHP 同時發布 8.5.12、8.4.27、8.3.36、8.2.35 四個版本，修補 CVE-2026-109618 與 CVE-2026-109619 兩個漏洞，資安圈把它們叫做「PHP2Shell」。官方給兩個漏洞的嚴重程度評分都是 9.2（滿分 10），問題出在 PHP 處理網頁請求的核心，不是某個外掛或佈景主題。PHP 官方的公告寫得很直接：沒有完整的緩解方法，更新是唯一安全的做法。
這次的修補比原定時間早。根據 The Hacker News 的報導，漏洞消息在 10 月 20 日提前在網路上流出，PHP 官方當晚發出預告，把修補提前到 21 日發布，報導標題也寫到已經出現嘗試利用的攻擊。荷蘭國家網路安全中心（NCSC-NL）在 GitHub 上整理各家軟體與廠商的修補進度，想查自己用的系統出修補了沒，可以從那裡找。
哪些網站受影響
PHP 官方說，凡是用 PHP 處理網頁請求的安裝都有風險，其中 Apache 搭配 mod_php 的組合風險最高。也就是說，WordPress、WooCommerce 商店、用 PHP 寫的會員系統都在範圍內；網頁伺服器不管是 Apache、Nginx 還是 LiteSpeed，都要更新 PHP。
網路上流傳的權宜設定，例如關掉 session.upload_progress，只跟其中一個漏洞的攻擊方式有關，擋不住另一個，不能拿來代替更新。
還在用 PHP 8.1 或更舊版本的網站要特別注意：這些版本官方已經不再支援，這次沒有修補版，只能升到 8.2 以上。
| 你用的 PHP | 要升到 |
|---|---|
| 8.5 | 8.5.12 或更新 |
| 8.4 | 8.4.27 或更新 |
| 8.3 | 8.3.36 或更新 |
| 8.2 | 8.2.35 或更新 |
| 8.1 或更舊 | 官方沒有修補版，要升到 8.2 以上；升級前先備份，並確認佈景主題和外掛支援新版 |
先查網站用的是哪一版 PHP
不用登入伺服器也查得到。進 WordPress 後台，打開「工具」裡的「網站健康狀態」（英文介面是 Tools → Site Health），切到「資訊」分頁，展開「伺服器」，裡面會寫網站目前實際在用的 PHP 版本，而且會寫到最後一碼，例如 8.3.36。主機控制台通常只看得到 8.3、8.4 這種分支，看不出有沒有更新到修補版。
PHP 如果是用 Ubuntu、Debian 這類 Linux 發行版的套件裝的，PHP 官方說各發行版已經提前拿到修補，請照發行版的資安公告更新，套件版本以發行版公告寫的為準。
依你的狀況，現在該做什麼
自己管 VPS 或雲端主機
今天就更新。用發行版套件的，照發行版公告更新 PHP 套件；用官方原始碼或其他套件來源的，升到上表的版本。更新完要重新啟動 PHP 的處理程序或網頁伺服器，舊的程序還在跑的話，網站用的仍是舊版。用 Docker 跑 WordPress 的，要用新版映像檔重建容器，只重開容器不會換掉裡面的 PHP。最後回到「網站健康狀態」確認版本號已經變了。
用共享主機
PHP 由主機商負責更新，你在控制台能選的多半只是 8.3、8.4 這種分支，最後一碼是主機商裝的。最快的做法是直接問主機商：PHP 已經更新到 10 月 21 日的修補版了嗎？同時看一下網站健康狀態裡的版本號。如果主機商一直沒有回應，或遲遲沒有更新，就該認真考慮搬家。
網站交給工程師或接案公司維護
把這篇的版本表傳給負責的人，請他回報網站目前的 PHP 版本。有些維護約定只包 WordPress 和外掛更新，伺服器這一層沒有人負責，這次剛好可以問清楚。
不想每次都自己追 PHP 更新的話
這次的漏洞提醒了一件事：WordPress 網站要顧的不只是 WordPress 和外掛，底下的 PHP 和伺服器也要有人更新。如果你沒有工程師，也不想自己追這些公告，可以考慮全託管。WP × Roamer AI 是 RoamerHost 的 WordPress 全託管服務，不用自己管伺服器，WordPress 自動更新、自動備份，付款後約 60 秒自動裝好最新版 WordPress。基本版年繳平均每月 NT$299；想讓 AI 幫你建頁面、改版面、更新外掛，可以選 WP × Roamer AI 進階版，年繳平均每月 NT$999。方案內容在 WP × Roamer AI 方案頁。
已經是 RoamerHost 會員的話，也可以用上面「網站健康狀態」的方法，看自己網站目前的 PHP 版本。
WordPress 本身 10 月也有資安更新，7.1.3 和正被攻擊的外掛整理在 WordPress 10 月漏洞整理；怕更新把網站弄壞，可以先看 先備份、分批更新、壞了就退回。懷疑網站已經被入侵，先看 WordPress 網站出事時的救援步驟。
常見問題
WordPress 已經是最新版，還要管 PHP 嗎？
要。這次的漏洞在 PHP 本身，不在 WordPress 或外掛裡，WordPress 更新到 7.1.3 也擋不住。要確認的是伺服器上的 PHP 有沒有升到修補版。
升級 PHP 會不會把網站弄壞？
同一支裡的小版本更新，例如 8.3 系列升到 8.3.36，以修正問題為主，一般不用改佈景主題或外掛。比較要小心的是跨分支升級，例如從 8.1 升到 8.3，升之前先備份，並確認佈景主題和主要外掛支援新版。
怎麼知道網站是不是已經被攻擊？
常見的跡象是後台出現不認識的管理員、上傳資料夾裡多了 PHP 檔、網站被導到奇怪的網址。發現可疑的地方，先備份現況、換掉所有管理員密碼，再請主機商或工程師清查。更新 PHP 只能補上漏洞，已經被放進網站的後門不會因此消失。
資料來源
- PHP 官方新聞（2026 年）
- PHP 8.4.27 發布公告
- PHP 8.3.36 發布公告
- php-src：PHP 8.5.12 版本說明
- The Hacker News：PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge
- Search Engine Journal：Critical PHP Core Vulnerabilities Affect Websites, Including WordPress
- 荷蘭國家網路安全中心（NCSC-NL）：php2shell 修補進度整理
WordPress
