PHP2Shell 後續：WordPress 站長自救指南，3 分鐘確認網站有沒有中、怎麼修補
PHP2Shell（CVE-2026-109618、CVE-2026-109619）是今年影響範圍最大的漏洞之一：不需要登入、任何一個 PHP 頁面都可能成為入口，和你裝了哪些 WordPress 外掛無關。漏洞原理我們在上一篇已經完整解析，這篇專門寫給 WordPress 站長：怎麼確認自己的網站有沒有中、怎麼修，以及修完之後要檢查什麼。
重點先講：PHP 官方修補版本是 8.5.12、8.4.27、8.3.36、8.2.35。但如果你用的是 Ubuntu、Debian 等發行版套件，php -v 顯示的版本號不會變，一定要用套件版本確認。
攻擊已經開始了
- 10 月 17 日：Amazon 的誘捕系統在公開揭露前 4 天就記錄到一次利用嘗試
- 10 月 21 日：因為漏洞細節與 PoC 提前外流，PHP 官方提前一天公開修補，當天就有多個攻擊者開始掃描
- 之後：WAF 業者回報大量被攔截的流量，WordPress 代管平台 Pantheon 一家就擋下超過 6 萬次探測請求
步驟 1：確認 PHP 版本與執行方式
WordPress 後台就能看：工具 → 網站狀態 → 資訊 → 伺服器，找到「PHP 版本」與「PHP SAPI」兩個欄位。
| PHP SAPI 顯示 | 代表的執行方式 | 風險 |
|---|---|---|
| apache2handler | Apache 的 mod_php | 官方評估風險最高，請最優先處理 |
| fpm-fcgi | PHP-FPM | 受影響，一樣要更新 |
| cgi-fcgi | FastCGI | 受影響，一樣要更新 |
步驟 2：依環境更新
自架主機（Ubuntu / Debian）
以 Ubuntu 24.04 為例，修補後的套件版本是 8.3.6-0ubuntu0.24.04.13（USN-8948-1）：
sudo apt update
sudo apt install --only-upgrade libapache2-mod-php8.3 php8.3-cli php8.3-fpm php8.3-cgi
# 確認套件版本（php -v 仍會顯示 8.3.6，這是正常的）
apt policy libapache2-mod-php8.3
dpkg -l "php8.3*"
# 重新啟動，讓新版本生效
sudo systemctl restart apache2 # mod_php
sudo systemctl restart php8.3-fpm # PHP-FPM一定要重新啟動服務，否則記憶體中跑的還是舊版本。
使用官方原始碼或第三方套件庫
升級到 8.5.12、8.4.27、8.3.36 或 8.2.35 以上。PHP 8.1 以下已不再獲得官方修補，請盡快升級到仍受支援的版本，或確認你的 LTS 供應商有提供修補。
虛擬主機、代管平台
自己無法更新 PHP，請直接詢問主機商是否已套用修補，並要求提供套件版本或修補日期，不要只接受「我們很安全」這種回覆。
步驟 3：處理還沒修好的第三個漏洞
加拿大網路安全中心後續補充，還有一個 10 月 21 日修補版本沒有修到的 RCE 漏洞 CVE-2026-115560，只有在特定設定下才會受影響。在官方修補前，建議先在 php.ini 關閉：
session.upload_progress.enabled = 0一般 WordPress 網站不會用到這個功能，關掉通常不會影響運作，改完記得重新啟動服務。
步驟 4：檢查有沒有被入侵
PHP2Shell 的麻煩在於網站存取紀錄可能完全看不出異狀。CrowdStrike 指出，伺服器端常常只留下一筆記憶體上限（memory limit）的 fatal error。建議檢查：
- 錯誤紀錄：10 月中旬以後出現的
Allowed memory size exhausted錯誤 - 異常程序：PHP 或 Apache 程序底下出現
sh、bash、curl、wget等子程序 - 檔案變更：
wp-content/uploads裡出現.php檔、最近被修改的核心檔案，可以用 Wordfence 這類外掛做完整掃描 - 帳號：WordPress 後台出現不認識的管理員帳號
- 對外連線：網站主機主動連到陌生 IP
如果發現入侵跡象，最可靠的做法是從乾淨的備份重建主機，並更換資料庫密碼、wp-config.php 中的 Salt 與所有管理員密碼。
小心假的 PoC
JFrog 發現 GitHub 上有假的 PoC，執行後會把電腦桌布換成不當內容。想測試自己網站有沒有漏洞，請使用可信的來源，不要隨便下載執行來路不明的程式。
延伸閱讀
- Black October 2026 總整理：10 月資安事件時間軸與檢查清單
- PHP2Shell 爆發全球資安危機：兩項重大 RCE 漏洞的成因、攻擊原理與防禦策略
- 你的 API Key 還安全嗎？Zeabur、Railway、LiteLLM 接連外洩