PHP2Shell 重大資安漏洞！WordPress、Joomla 網站會受影響嗎？2026 PHP 安全更新指南

2026 年 10 月 21 日，PHP 官方公布兩項重大安全漏洞 CVE-2026-109618、CVE-2026-109619（PHP2Shell），可能造成未經驗證的遠端程式碼執行。對使用 WordPress、Joomla 或其他 PHP 網站的企業而言，這是必須優先確認的主機層級安全事件。

即使 WordPress 核心、外掛與佈景主題都已更新，若底層 PHP 執行環境仍未修補，網站仍可能存在風險。本文整理官方修補版本、企業自查方法，以及網站維護與主機維護的責任分工。

PHP2Shell 是什麼？為什麼重要？

PHP 是 WordPress、Joomla 等網站系統常用的伺服器端程式語言。這次漏洞存在於 PHP 的內部處理機制，不是單一 WordPress 外掛漏洞。根據 PHP 官方公告，兩項漏洞在特定條件下可能讓未經身分驗證的攻擊者遠端執行程式碼，屬於重大風險。

使用受影響版本，不等於網站已經遭到入侵。是否遭受攻擊，需要進一步檢查主機日誌、網站檔案及異常行為。

PHP2Shell 受影響版本與官方修補版本

以上為 PHP 官方一般發行版本的修補對照。Linux 發行版、Plesk 或主機商可能以安全修補回補（Backport）方式處理，版本號不一定改變；應依供應商公告確認。PHP 8.1 與更早版本已停止官方常規支援，應確認供應商是否提供安全修補並規劃升級。PHP 8.2 將於 2026 年 12 月 31 日結束官方安全支援。

WordPress 網站會受到影響嗎？

有可能，取決於網站使用的 PHP 執行環境是否已修補。這不代表 WordPress 核心本身出現相同漏洞，也不代表所有 WordPress 網站都已遭到攻擊。

如何查看 PHP 版本？

登入 WordPress 後台，前往「工具 → 網站健康狀態 → 資訊 → 伺服器」，查看 PHP 版本。接著向主機商確認該版本是否已套用 PHP2Shell 修補。由主機商管理的環境，通常應由主機商進行底層更新。

升級後務必測試首頁、聯絡表單、會員登入、購物車、結帳及客製功能。自行管理伺服器者，也應確認 Web Server、PHP-FPM 等實際執行環境已套用更新並重新載入，不能只看命令列版本。

Joomla 網站也需要檢查嗎？

需要。Joomla 核心及擴充套件更新，與底層 PHP 修補是不同工作。即使 Joomla 已更新，仍須確認 PHP；PHP 修補完成，也不代表 Joomla 本身沒有其他漏洞。舊版網站應先備份並評估相容性，避免在正式環境未經測試就大幅升級。

主機商負責維護，為什麼還需要網站維護廠商？

主機維護與網站維護的責任範圍不同。PHP 套件與伺服器系統修補通常由主機商或主機管理人員處理；WordPress 核心、外掛、佈景主題更新、網站功能測試、備份還原與異常排查，則可能由網站維護廠商依合約協助。

例如主機商已完成 PHP 更新，但企業網站因舊外掛不相容而無法正常運作，此時仍需要網站技術人員檢查與修復。購買主機不等於所有網站功能與資安項目都有人負責。實際分工以服務契約為準。

企業應立即完成的 PHP2Shell 安全檢查清單

1. 確認 PHP 版本及修補狀態：詢問主機商正式網站的實際 PHP 套件是否已修補。
2. 更新前完整備份：保存網站檔案、資料庫與必要設定，確認備份可還原。
3. 安排官方安全更新：由主機管理人員更新並確認相關服務重新載入。WAF 不能取代安全修補。
4. 檢查網站功能：測試表單、登入、購物流程及重要客製功能。
5. 檢查異常跡象：視風險檢查日誌、異常帳號、可疑檔案與不明排程；如懷疑入侵，應保留證據並尋求專業協助。
6. 建立持續維護機制：明確指定主機、網站程式、資安監控及故障回報的負責窗口。

PHP 更新後，網站就完全安全了嗎？

不是。此次修補針對已知 PHP 漏洞，網站仍可能存在未修補外掛、弱密碼、缺乏多因素驗證、備份失敗、主機設定不當或既存惡意程式等問題。網站資安是持續性的管理工作，不能靠單次更新就保證永久安全。

沒有專職 IT 的企業，如何安排網站資安維護？

建議確認委外維護服務是否包含 WordPress 核心與外掛更新、PHP 與主機環境協調、網站備份與還原、重大漏洞追蹤、功能測試，以及明確的問題回報與處理時段。上市櫃企業官網、電商平台及具有會員資料的網站，更需要依營運需求規劃維護責任與服務等級。

維護費用應依網站規模、功能複雜度、主機管理範圍、服務時段及資安要求評估，不宜只比較月費。

大郁可以如何協助？

大郁網頁設計工作室提供 WordPress 網站相關技術與維護服務，可依實際情況評估版本更新、錯誤檢查、主機 PHP 環境協調、備份、安全檢查與既有網站接手維護。即使網站不是由大郁製作，也可以先提供網站網址及遇到的問題，經確認網域、主機、權限、授權、備份及安全狀況後，再評估是否能接手。

PHP2Shell 常見問題 FAQ

WordPress 已更新，還要更新 PHP 嗎？

需要分開確認。WordPress 更新不會自動保證主機 PHP 漏洞已修補。

使用 Cloudflare WAF，可以不用更新 PHP 嗎？

不可以。WAF 可作為額外防護，但不能取代官方安全修補。

主機商說已修補，還需要做什麼？

請確認修補範圍與實際執行環境，並測試網站重要功能。

更新 PHP 會讓網站壞掉嗎？

可能出現舊外掛或客製程式相容性問題，因此更新前應備份並安排測試。

不是大郁製作的網站，可以委託維護嗎？

可以先評估，但能否接手取決於網站架構、主機權限、授權及安全狀況。

結語：網站安全，不該等到出問題才重視

PHP2Shell 提醒企業：網站安全不只是更新 WordPress，也包含 PHP、主機環境、備份及持續監控。網站做得好很重要，能長期安全、穩定運作同樣重要。

擔心網站尚未完成 PHP 安全更新，或目前沒有固定維護廠商？歡迎透過 大郁網頁設計工作室官網 聯繫我們，先了解網站現況，再評估適合的維護或處理方向。

參考資料

• PHP 官方：2026 年 10 月安全版本發布公告
• Plesk：PHP2Shell 受影響與修補版本

資料整理日期：2026 年 10 月 23 日。請以官方及主機商最新公告為準。