如果企業網站使用 PHP，現在最重要的事是確認主機上的 PHP 執行環境是否已套用安全更新。PHP 官方於 2026 年 10 月 21 日發布修補版本；只更新 WordPress、外掛或佈景主題，並不會更新主機底層的 PHP。

PHP2Shell 是兩個 PHP 核心漏洞的統稱，編號為 CVE-2026-109618 與 CVE-2026-109619。PHP 官方指出，漏洞可能讓未登入的遠端攻擊者在特定條件下執行程式。這不代表每個 PHP 網站都已遭入侵，但企業應盡快請主機商或維護廠商確認修補狀態，並檢視修補前的異常紀錄。

本文依截至 2026 年 10 月 22 日可查到的公開資料整理。攻擊嘗試、研究人員的誘捕環境觀察與企業網站遭成功入侵，是不同層次的證據；文中會分開說明，避免把其中一項直接當成另一項。

快速導讀陪你一起讀文章

一、PHP2Shell 是什麼？

二、哪些網站與 PHP 版本需要確認？

三、目前公開的漏洞與攻擊時間線

四、網站遭入侵後，廣告與 SEO 可能受什麼影響？

五、企業現在可以做的三件事

六、常見問題

一、PHP2Shell 是什麼？

PHP 是許多網站使用的伺服器端程式語言，WordPress、部分購物網站與企業官網都可能以 PHP 執行。PHP2Shell 的問題位於 PHP 執行環境本身，而不是某一個 WordPress 外掛；研究人員指出，攻擊者可透過特製的網路請求觸發漏洞，在符合條件時造成遠端程式碼執行。

項目目前可確認的資訊
漏洞名稱PHP2Shell，包含 CVE-2026-109618 與 CVE-2026-109619
嚴重程度PHP 官方對兩項漏洞評為 CVSS v4.0 9.2
可能影響未經驗證的遠端程式碼執行；第二項漏洞另涉及記憶體資訊暴露
官方修補版本PHP 8.5.12、8.4.27、8.3.36、8.2.35
修補日期2026 年 10 月 21 日
需要確認的環境提供網頁服務的 PHP 執行環境，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed

表 1｜PHP2Shell 的基本資訊

PHP 官方安全公告列出的正式修補版本適用於 PHP 8.2 至 8.5 各分支。Linux 發行版、長期維護供應商或主機商也可能提供回補套件，因此不能只看網站顯示的版本號；應請維護方確認實際安裝的套件是否包含 CVE-2026-109618 與 CVE-2026-109619 的修補，以及 PHP 工作程序是否已重新啟動。

PHP 7.4、8.0 與 8.1 已不在 PHP 專案的一般支援版本中。PHP 團隊另提供這幾個分支的最小原始碼回補，部分發行版與長期支援供應商也可能提供自己的套件。更舊的 PHP 版本則應由主機商或維護廠商確認可用修補與升級安排。請參考PHP 官方 2026 年安全公告與PHP 已停止支援版本清單。

二、哪些網站與 PHP 版本需要確認？

判斷時要確認網站實際使用的執行環境，以及由誰維護主機。網站外觀或後台程式的名稱，無法單獨證明底層 PHP 是否受影響。

網站或主機類型建議確認事項優先聯絡對象
WordPress、WooCommerce 或其他 PHP 網站確認提供網頁服務的 PHP 套件版本與修補狀態；只更新 CMS 或外掛不等於 PHP 已更新網站維護公司或主機商
客製 PHP 系統確認正式站、測試站及背景工作所使用的 PHP 執行環境原開發商或維運工程師
虛擬主機或代管主機詢問供應商是否已部署含修補的 PHP 套件，以及是否已重啟服務主機商
自行管理的 VPS、雲端主機或容器確認所有對外服務、容器映像與多版本 PHP 執行環境均已更新負責維運的工程師
Shopify、Wix 等代管平台平台底層通常由供應商維護；自架的活動頁、外掛服務或獨立系統仍要另外盤點平台業者及自架系統維護方
不執行 PHP 的純靜態網站若確認對外網站與相關服務完全沒有 PHP 執行環境，則不屬於這次 PHP 執行環境的直接修補範圍網站維護方協助確認

表 2｜不同網站架構的確認方向

Cloudflare 等 Web 應用程式防火牆已針對已知攻擊方式部署規則，可降低部分風險，但 Cloudflare 將此定位為暫時防護。規則只能檢查經過該服務的流量，也無法取代 PHP 修補；若網站來源主機仍可被繞過防護直接連線，更要請維護方確認來源站的存取限制。

三、目前公開的漏洞與攻擊時間線

以下時間線依各機構公開資料整理。不同資安團隊對攻擊活動的描述可能採用不同觀察範圍；誘捕主機收到攻擊請求代表有人嘗試利用，不等於已證明某一家企業網站遭成功入侵。

日期（台灣時間）公開資訊解讀時要注意
10 月 17 日Amazon Threat Intelligence 表示，其 MadPot 誘捕環境觀察到一次 PHP2Shell 利用嘗試這是誘捕環境收到的嘗試，不足以判斷一般企業網站是否成功遭入侵
10 月 20 日漏洞編號與相關消息開始流傳；PHP 團隊預告將發布兩項重大安全修補當時公開的漏洞細節與修補版本尚未完整確認
10 月 21 日PHP 官方發布修補版本；Cloudflare 表示已部署已知攻擊方式的 WAF 規則，並觀察到攻擊流量WAF 規則是暫時措施，不能視為 PHP 已修補
截至 10 月 22 日研究與資安業者持續更新對利用活動的觀察；Tenable 引述 Amazon 的資料，指出後續嘗試增加並將活動描述為廣泛利用攻擊嘗試、誘捕環境觀察與特定企業主機遭成功入侵仍是不同證據層級

表 3｜PHP2Shell 公開資訊時間線（資料查閱至 2026 年 10 月 22 日）

因此，初期「尚未看到成功入侵」的報導不能當作目前沒有利用活動的證明。企業應以官方修補與自己的主機紀錄為準；若網站在修補前對外提供 PHP 服務，請維護方一併檢視從 10 月 17 日起的異常請求、程序、檔案與登入紀錄。可參考Tenable 的事件更新、Cloudflare 的防護與流量觀察及NCSC-NL 的作業資訊。

四、網站遭入侵後，廣告與 SEO 可能受什麼影響？

PHP2Shell 不會自動讓網站廣告停刊或排名下降；這些影響要在網站真的遭入侵、被植入惡意程式或服務異常時才可能發生。以下是網站遭入侵後需要留意的風險，不代表每個漏洞受影響網站都會出現這些狀況。

面向可能出現的狀況企業可能遇到的影響
Google Ads到達網頁被竄改、轉址、散布惡意軟體或被判定為遭入侵網站相關廣告可能遭拒登；修復後須依 Google Ads 流程重新檢查或提出申訴
自然搜尋網站被加入未授權頁面、垃圾連結或惡意內容搜尋結果可能出現陌生頁面；Google 偵測到安全問題時，Search Console 會顯示安全性問題通知
網站流量訪客遭瀏覽器安全警告、轉址，或網站暫時無法使用使用者可能離站，搜尋流量與轉換機會受影響
GA4 與轉換追蹤追蹤程式被更動、事件無法觸發或流量被導向其他頁面報表可能與實際詢問或訂單不一致，影響成效判讀
表單與客戶資料表單、會員或訂單資料遭未授權存取，或網站功能遭破壞可能需要資安調查、資料外洩應變及客戶通知評估

表 4｜網站遭入侵後，可能連帶影響的行銷環節

Google Ads 對遭入侵網站有明確政策。修復到達網頁後，Google 建議讓系統最多有 72 小時重新檢查頁面；實際時間會依案件而異。自然搜尋方面，Google 建議網站管理者檢查 Search Console 的安全性問題報告，也可用 site:你的網域 搜尋是否出現未建立的頁面。這些是發現問題的檢查方式，不能取代主機端的安全調查。

行銷團隊可留意以下訊號：

  • Search Console「安全性問題」出現警告，或收到安全通知。
  • Google Ads 政策管理員出現「遭入侵網站」或惡意軟體相關拒登。
  • 搜尋 site:你的網域 時，出現團隊沒有建立的頁面，尤其是大量陌生語言或商品頁。
  • GA4 到達網頁報表出現陌生路徑，或表單、訂單等重要轉換突然停止。
  • 網站出現非預期轉址、瀏覽器警告、畫面異常，或客戶反映無法使用。

發現上述訊號時，先通知網站維護與資安負責人確認主機狀況，再處理廣告審核、搜尋安全通知及追蹤資料。不要只根據 GA4 數字或單一搜尋結果判定是否已遭入侵。

五、企業現在可以做的三件事

1. 請網站維護方確認執行環境與修補狀態

請網站公司或主機商以書面回覆：網站是否使用 PHP、正式站實際執行哪個版本、套件是否含兩項 CVE 修補，以及修補後是否已重新啟動 PHP-FPM 或其他 PHP 工作程序。若使用作業系統或主機商提供的回補套件，請對方提供套件公告或修補版本作為確認依據。

2. 若尚未修補，請維運人員安排更新並驗證網站功能

修補前先確認應用程式與外掛相容性，並由負責主機的人員安排更新。不要只在 WordPress 後台更新外掛，也不要只憑網站顯示的 PHP 版本判斷套件有沒有回補。PHP 官方指出，只有更新到含修補的版本才是完整解決方式；設定調整或 WAF 規則最多只能降低部分風險。

更新後，請確認網站前後台、登入、表單、檔案上傳、購物與付款流程正常。若網站使用多個 PHP 版本、容器或測試站，也要逐一確認對外服務所用的執行環境。

3. 回頭檢查修補前的紀錄與行銷入口

請維護或資安人員依主機架構檢視 10 月 17 日以來的可疑請求、異常程序、檔案變更、管理員登入及外連紀錄。行銷人員則檢查廣告政策通知、Search Console 安全性問題、搜尋結果陌生頁面，以及 GA4 重要到達頁與轉換是否正常。若發現疑似入侵，應先由資安與維運人員處理事件，再恢復廣告與行銷活動。

可以直接把以下問題寄給網站維護公司：

  • 我們的正式網站是否使用 PHP？目前是哪一種 PHP 執行環境與套件版本？
  • PHP 套件是否已包含 CVE-2026-109618 與 CVE-2026-109619 的修補？使用的是 PHP 官方版本還是供應商回補套件？
  • 修補日期為何？修補後是否已重新啟動所有提供網頁服務的 PHP 工作程序？
  • 是否檢查過 10 月 17 日以來的異常請求、可疑檔案、程序與登入紀錄？
  • 修補後是否測試前後台、表單、檔案上傳、購物與付款等功能？

如果網站目前正常，不需要只因為看到漏洞新聞就自行登入主機調整設定或立即暫停所有廣告。先請負責主機的人確認並修補；若已發現惡意轉址、廣告拒登或其他入侵跡象，再由維護、資安與行銷負責人共同決定暫停哪些入口及後續復原方式。

六、常見問題

PHP2Shell 會影響 WordPress 嗎？更新外掛有用嗎？

WordPress 網站若使用受影響的 PHP 執行環境，就需要確認主機修補狀態。這次問題在 PHP 本身，因此更新 WordPress 核心、外掛或佈景主題不能代替 PHP 安全更新；若維護方需要升級 PHP 主版本，應先確認網站程式相容性。

新聞說有 AI 駭客在攻擊，是真的嗎？

公開報導提到 AI 協助資安研究人員發現或分析漏洞，但不能因此推定每一波攻擊都使用 AI。對企業來說，應依可查證的漏洞公告、主機更新狀態與紀錄調查，不必根據「AI 駭客」這個標籤猜測攻擊來源。

目前已經有網站被成功入侵嗎？

截至本文查閱時間，公開來源已報告攻擊嘗試與誘捕環境觀察，且對利用活動的範圍有不同描述。誘捕主機記錄到攻擊請求，不等於能確認某個企業網站遭成功入侵；同樣地，未在特定清單看到漏洞，也不能證明完全沒有利用。若網站尚未修補，應盡快更新並檢查修補前的主機紀錄。

網站有用 Cloudflare，是不是就沒事？

不是。Cloudflare 已對已知攻擊方式部署 WAF 規則，並說明這是暫時防護。規則只涵蓋經過 Cloudflare 的流量，也不能取代 PHP 修補；請同時確認來源主機沒有被繞過防護直接連線。

網站還在用 PHP 7，一定要重寫嗎？

不一定需要立刻重寫整個網站。PHP 官方為 PHP 7.4、8.0 與 8.1 提供最小原始碼回補，部分發行版或主機商也可能提供回補套件；實際可用方式要依維運環境確認。更舊的版本應與維護方討論可用修補、限制對外服務或升級計畫，並在測試環境檢查相容性。

需要先暫停廣告嗎？

如果網站沒有異常，也尚未收到政策通知，不需要只因漏洞消息就一律暫停廣告。若發現到達頁遭轉址、顯示惡意內容、無法使用或已被 Google Ads 拒登，應先讓維護與資安人員確認並修復，再依政策管理員的指示重新提交審查。

參考資料

資料查閱日期：2026 年 10 月 22 日。漏洞修補、攻擊觀察與供應商套件狀態可能持續更新；請以 PHP 官方公告、作業系統／主機供應商公告及自身主機紀錄為準。

KPN 編輯部
AUTHOR

KPN 編輯部

奇寶網路自 2006 年成立，深耕搜尋行銷產業 — 服務超過 上千家企業客戶，自主研發站內廣告系統「客樂寶」，是 Google Partners 官方認證機構。

關於奇寶 → 聯絡顧問 →
SHARE Facebook LINE
STAY CONNECTED · 訂閱與社群

還想了解更多各類數位行銷資訊的話，歡迎訂閱電子報、加入奇寶 Line 好友，第一時間接收最新資訊！

Facebook 粉絲專頁：
奇寶網路 台北移動學苑

歡迎轉載 KPN 奇寶部落格相關文章，在轉載前請先詳閱著作權聲明及轉載原則。