產業資訊

PHP2Shell 重大資安預警：PHP 預告 CVSS 9.2 修補，企業應立即盤點

企業官網、電商與內部系統若使用 PHP，現在就應確認更新責任人與部署流程。PHP 官方已預告兩項 CVSS v4.0 9.2 的重大安全修補；Server Plus 建議優先盤點對外服務，並在修正版確認後儘速更新與驗證。

2026-10-215 分鐘閱讀Server Plus

PHP2ShellPHP 安全更新CVE-2026-109618CVE-2026-109619網站資安弱點修補

PHP 預告於台灣時間 2026 年 10 月 21 日 22:00 發布重大安全更新。Server Plus 整理 PHP2Shell、CVE-2026-109618／109619 已知資訊，以及企業 PHP 資產盤點、更新、隔離與修補驗證要點。

資料來源：PHP Security Team · 2026-10-20

公告狀態：台灣時間 10 月 21 日 22:00 預定發布

本文依截至 2026 年 10 月 21 日台灣時間中午取得的公告整理，屬於修補發布前的預警與準備指南，不是已完成驗證的漏洞修復步驟。PHP 官方預告將處理兩項重大漏洞，均評為 CVSS v4.0 9.2；若細節提前公開或出現實際利用證據，更新可能提前發布。

預定時間：2026 年 10 月 21 日 14:00 UTC，即台灣時間 22:00。
相關編號：CVE-2026-109618、CVE-2026-109619，見 CERT-EU 與 Sansec 公告。
發布時確認：完整受影響版本、攻擊條件與修正版號，以 PHP 官方及所用套件供應商公告為準。

PHP2Shell 是什麼？研究警訊與官方資訊要分開看

Sansec 報導，一款名為 PHP2Shell 的利用工具資訊已外流，相關漏洞可能導致遠端程式碼執行（RCE）。其報導將 PHP 5.4 以上列為影響範圍，並預估修補發布後 15 分鐘內可能出現大量攻擊；這是研究機構的風險評估，不是已確認的攻擊時間表，也不代表每一種 PHP 部署均已證實可被利用。

Magento、Shopware、WooCommerce 與其他 PHP 網站的維運團隊，應將底層執行環境納入盤點，而不只檢查 CMS 或外掛版本。只更新應用程式，不等於已修補 PHP 執行環境。完整影響範圍仍須對照正式安全公告。

修補發布前：先確認哪些系統需要更新

Server Plus 建議由網站開發、維運及主機供應商共同確認以下事項，避免修補發布後才尋找負責人或發現部署流程不可用。

盤點正式站、測試站、API、排程工作及容器內的 PHP；列出版本、安裝來源與維護責任人。
分別確認命令列 PHP、PHP-FPM 與 Apache mod_php。執行 php -v 只代表目前命令列版本，不保證網站使用同一套執行環境。
準備資料、設定及部署版本備份，確認登入、結帳、上傳與排程等重要流程的測試方式。
聯繫主機商、控制面板或 Linux 發行版供應商，確認安全套件、容器映像及部署時程；不要等到預定發布時間才開始追蹤公告。

修補發布後：更新完成，還要確認服務真的載入新版

以下是維運驗證清單，不是跨所有環境通用的升級命令。實際操作應依套件來源、網站架構與供應商公告安排。

確認公告明確涵蓋這兩個 CVE，安裝對應修正版或供應商回補修正的套件；不要只以版本數字大小判斷是否安全。
使用可信任的套件庫或官方來源更新；容器環境需更新映像並重新部署，不能只更新宿主機的 PHP。
依實際部署重新載入或重啟 PHP-FPM、載入 mod_php 的 Apache，或相關容器；確認舊的 PHP 工作程序已退出。Nginx 是否需重啟應依設定變更判斷。
從網站實際執行環境驗證版本與套件修補狀態，測試重要交易流程；診斷資訊應限制存取，不要將 phpinfo() 公開在網站上。
觀察錯誤日誌、異常程序、網站檔案及登入事件。若疑似已遭入侵，保留證據並啟動事件處理，不能將安裝補丁視為已清除入侵。

舊版或暫時無法更新：先縮小暴露面，再完成遷移

PHP 官方目前支援的分支為 8.2、8.3、8.4 與 8.5；8.1 及更舊分支已不在上游支援範圍。若使用 Linux 發行版或商業延伸維護，仍須向供應商確認是否提供這次漏洞的回補修正，不能單看主版本判斷。PHP 8.2 的安全支援將於 2026 年底結束，規劃遷移時也應考量後續生命週期。

CERT-EU 建議無法立即修補的組織評估將對外應用與公開網路隔離。Server Plus 建議依業務需求暫停非必要入口，或以經驗證的存取限制縮小可接觸服務的人員範圍。

WAF、來源 IP 限制與網路隔離可作為分層風險控制；在攻擊條件尚未完整公開前，不應宣稱一般 WAF 規則已能完整阻擋此次漏洞。
不要將 php.ini 的 disable_functions 或停用特定函式視為已驗證的修補。應持續追蹤官方緩解方式，並以確認有效的更新完成處理。

讓盤點、修補與複測形成可追蹤的處理紀錄

企業應記錄受影響資產、更新前後套件、部署時間、驗證結果與未完成項目。弱點掃描可以協助持續管理對外暴露面，但沒有偵測結果，不代表已排除新漏洞；仍須核對掃描規則支援情況及主機端修補證據。

需要網站與外部 IP 弱點掃描、修補優先順序或基礎架構規劃協助，可透過 Server Plus 聯繫窗口討論。也可使用 REDMARK 規劃持續弱點管理；本文不宣稱任何掃描工具已具備 PHP2Shell 專用偵測能力。

FAQ

常見問題

更新 WordPress、WooCommerce 或外掛就夠了嗎？

不夠。應用程式更新不一定會更新底層 PHP；需由維運人員或主機商確認網站實際使用的 PHP 執行環境與修補狀態。

PHP 8.2 以上就一定安全嗎？

不是。支援中的分支不等於已安裝這次修補，仍須核對正式公告、供應商套件及實際執行的工作程序。

弱掃沒報告此漏洞，可以不更新嗎？

不能。新漏洞的掃描規則可能尚未提供，外部掃描也未必能確認所有部署條件。應以官方公告和主機端修補證據判斷。