2026 年 10 月 21 日，PHP 官方緊急發佈安全更新，修補兩個被稱為 PHP2Shell 的嚴重漏洞（CVE-2026-109618 與 CVE-2026-109619）。這兩個漏洞都允許未經身份驗證的遠端程式碼執行，換言之，攻擊者無需登入，便可能在網站伺服器上執行指令。兩者的 CVSS v4.0 評分均為 9.2，而且漏洞細節在原定披露日之前外洩，迫使官方提前發佈修補版本。對於使用 PHP 的企業網站而言，這是一宗必須立即處理的網站安全事件。
受影響範圍
漏洞存在於 PHP 核心，因此凡是處理網頁請求的 PHP 環境都可能受影響，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 及 LiteSpeed。已修補的版本為 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35。至於 PHP 8.1 及更早版本，由於已終止支援，官方沒有發佈修補版本，網站只能升級到仍受支援的版本，或依賴主機商提供的回移修補。資安公司 watchTowr 表示，早在 10 月 21 日已觀察到實際攻擊，而美國 CISA 同日則表示未有發現攻擊；英國 NCSC 亦建議，無法即時修補的系統應考慮暫時下線。Cloudflare 亦曾部署臨時防火牆規則作為緩解措施。
為何中小企網站首當其衝
許多企業網站放在廉價共享主機，或遺留舊的測試站、活動專頁與微型網站，而這些環境往往最少人跟進更新，也最容易成為攻擊者的目標。一旦被入侵，後果通常不止網頁被竄改，還可能涉及客戶資料外洩、惡意程式植入，以及垃圾連結令搜尋排名下滑。HKCERT 2026 年第一季的報告亦指出，網站被竄改的個案，往往與未修補的漏洞、弱密碼及錯誤設定有關。如果不幸中招，可參考我們的網站被入侵應對指南。
本週應採取的行動
首先，盤點所有 PHP 環境，包括正式站、測試站、後台管理系統與主機控制面板。其次，向主機商確認 PHP 版本，並升級到已修補的版本，或要求提供回移修補。第三，在更新前後各做一次完整備份，並檢查伺服器日誌，留意由 PHP 程序衍生的異常子程序。此外，PHP 團隊其後亦公佈另一個視乎設定才會觸發的漏洞（CVE-2026-115560），並建議暫時停用 session.upload_progress 功能，實際狀態請以 php.net 最新公告為準。定期的安全掃描與書面的審計清單，能讓下次應變快得多。想了解更多，可閱讀常見問題：網站安全有多重要。
