資安檢測

PHP 重大漏洞 一次看懂：更新 WordPress 也擋不住，公司網站必查的 3 個地方

資安檢測｜2026-10-24

PHP2Shell 是什麼？它是 PHP 執行環境的重大漏洞，攻擊可能在 WordPress 開始工作前發生，所以只更新網站或外掛修不好。公司先查 PHP 版本、主機修補是否生效，以及錯誤紀錄；這三件先查，不是做完就保證安全。本文是 YouTube 頻道 AI 策略室 9 分 12 秒影片的文字版。以下照片子的順序，從 AI 怎麼找到它，講到公司網站現在可以問清楚的事；事件與版本資料以影片研究截至 2026 年 10 月 23 日的內容為準。

影片章節

時間影片章節
0:00AI 找到的漏洞，PHP 連夜修補
0:46AI 怎麼找到 PHP2Shell
2:21洞在哪裡：為什麼更新 WordPress 也擋不住
3:28為什麼大家用搶的
4:32日本和台灣怎麼反應
6:00公司網站必查的 3 個地方
7:44奧微觀點：資安是保護企業的底線
8:55留言跟我們說

PHP2Shell 漏洞是什麼？AI 怎麼找到它？

PHP2Shell 念作 PHP to Shell，意思是從 PHP 一路打進伺服器的命令列。找到它的，是資安公司 Calif 的研究員，用的是一般人也買得到的 AI 模型。2026 年 7 月底，他沒有叫 AI 漫無目的地掃，而是先去翻 PHP 的舊帳。

2004 年，有人找到過和記憶體上限有關的洞。他猜，同一家族的遠親，可能還藏在程式碼裡。把這個方向交給 AI 往下查，幾天內找到第一個，再把模式寫成說明，讓 AI 照著找同類，又找到第二個。

8 月中，雲端資安公司 Wiz 用自己的 AI 工具也獨立找到了它。他們說，一個研究員用一週，做完以前頂尖團隊要做好幾個月的事。但這不是 AI 憑空變出來的：這些零件在 2004 年、幾年前、2024 年都有人看過，只是被當成小問題，或太難利用。AI 改變的是把理論上的洞，變成幾天就能做出的攻擊。

PHP 漏洞原理是什麼？為什麼 WordPress 更新也擋不住？

把主機上的 PHP 想成一群在櫃台接客的工人。為了快，同一個工人會連續接很多位客人；每接完一位，就要把桌子收乾淨。客人進門，工人先拆包裹，也就是網頁送來的資料；拆完，才輪到 WordPress 工作。

洞就在拆包裹這一步。特製的上傳資料會讓處理做到一半停下來，帳本上的數字已經改了，內容卻還沒寫好；收拾時照著帳本清，留下壞掉的資料。下一位客人一來，又照著用，攻擊者就可能讓主機執行自己的程式。

重點是時間點：WordPress 還沒開始跑，漏洞就可能被觸發。網站程式寫得再乾淨、外掛再新，也不能取代 PHP 的修補。這和一般網站程式漏洞不同；想知道公司平常還應該檢查哪些層，可以看奧微資安檢測服務。

PHP 重大漏洞為什麼要緊急更新？

正常的做法是私下通報、官方修好，再一起公開。Calif 8 月就通報 PHP，原本約好 10 月 22 號公開。結果 10 月 20 號，消息和漏洞編號先流出來，修補還沒發，Cloudflare 就已看到攻擊。PHP 提前在台灣時間 10 月 21 號晚上 10 點發布修補。

W3Techs 的統計是：能判斷用什麼語言的網站裡，大約七成跑在 PHP 上。這不代表七成網站都已被入侵；實際風險仍取決於版本、環境與修補狀況。研究人員說，從 2012 年的 PHP 5.4 開始的版本都有這個問題，但利用仍需要一些條件；WordPress、Drupal、Joomla、Magento、Laravel 都有確認可被利用的環境。

用 SHOPLINE、91APP 這類開店平台，主機是平台在管，應找平台確認；純靜態網站沒有跑 PHP，不應只因新聞就認定自己也中了。公司手上若有多套系統，可以先按系統與套件漏洞的修補優先順序整理清單，釐清版本和負責人。

PHP 事件：日本停機了，台灣有什麼動作？

日本時間 10 月 21 號晚上 9 點 55 分，首相高市早苗在 X 發文，要大家當晚處理；來不及修補，暫停網站也是降低風險的方法之一。日本國家網路安全統括室也提醒，先確認有沒有用 PHP，晚上 11 點修補一出就盡快更新。這和台灣晚上 10 點，是同一個修補時間。

BASE 和托兒所管理服務コドモン下午就先停；傍晚到深夜，niconico、pixiv、DMM、賽馬娘、碧藍幻想陸續維護，連日本財務省都暫停部分網頁內容。這些多是預防性停機，不能把維護名單當成受害名單。歐盟和英國資安單位也建議，修不了的網站先下線。

台灣不是沒有動作。數位發展部資安署在 10 月 22 號發布新聞稿，透過資安警訊、N-ISAC 和 TWCERT 通知機關與企業：盤點所有 PHP 系統，照原廠公告更新，再檢查日誌與異常存取。不同的是，該份新聞稿沒有建議先停網站，也沒有公布台灣有受害的案例。這是當時公告的內容，不代表之後不會有新資訊。

WordPress PHP 更新怎麼查？公司網站先查這 3 個地方

1. 查實際處理網站的 PHP 版本

WordPress 後台依序點「工具」、「網站狀態」、「網站狀態資訊」、「伺服器」，查看 PHP 版本。不是 WordPress，就到主機控制台找，或問架站廠商。影片對照 PHP 官方 10 月 21 日公告的版本如下：

PHP 分支影片所列修補版本要確認什麼
8.58.5.12 以上實際處理網頁的 PHP 已更新並生效
8.48.4.27 以上更新後確認服務重啟
8.38.3.36 以上發行版回補依廠商安全公告確認
8.28.2.35 以上不要只看命令列版本
8.1 以下官方不再出新版，僅提供原始碼應急修補請主機商處理，或測試後升級到支援版本

這是原廠分支版本表；Linux 發行版可能把修補回補到較舊版號，不能只看數字就判定沒修。請廠商指出安全公告與已安裝套件是否對應；也別只看命令列，網站實際跑的可能是另一套 PHP。

2. 查誰負責主機，以及修補是否生效

租主機的，請主機商更新。寫信不要只問「有沒有修」，要問：「我的網站現在跑哪一版 PHP？修補生效了嗎？」自己管主機的，由你或工程師更新，更新完記得重啟 PHP。舊版要升級，先在測試站試，避免網站功能壞掉。

來不及更新時，網站前面接 Cloudflare、而且代理有打開的，10 月 21 號起連免費方案都有防護規則。但暫時防護不是修好，也不能保證擋住所有路徑。WordPress 維護模式擋不住這個洞，因為它發生在網站開始跑之前。

3. 查錯誤紀錄，不只把版本換新

更新像把門關上，還要看看有沒有人進來過。影片提醒三個跡象：紀錄裡突然大量「超過記憶體上限」接著一串 500 錯誤；PHPSESSID cookie 特別長、格式怪；PHP 程序沒來由地一直重啟。這些不是單靠一項就能下的入侵定論，應請懂資安的人追查，必要時從乾淨備份重建。

網站還能開，不等於沒有問題。也可以對照網站被駭的警訊，整理異常出現的時間與紀錄，再交給廠商或資安人員判斷。

奧微觀點：網站資安為什麼是企業的底線？

AI 讓找漏洞變快，對攻擊方和防守方都一樣；但攻擊方只要找到一個洞，防守方卻得把每一個洞補上。開發做完，看得到新功能；資安做好，往往什麼事都沒發生。看不到，不代表沒有價值，它是保護企業資產的底線。

這次對應的是中小企業常見五個資安破口中的「沒更新的系統與套件」。至少先留一份用了什麼、哪個版本、誰負責的清單；再問輸入資料的地方有沒有檢測、帳號有沒有多因素驗證、員工會不會回報可疑信件、備份上次何時真的還原過。你不用自己會修，也不用一次做完。

奧微軟體 AugurSoft 提供網站、系統與程式源碼的資安檢測、風險分級與修補協助。若你說不清楚公司網站誰在管、修補是否生效，可以先透過 LINE 官方帳號聊聊目前的系統與維運方式，再決定需要哪些檢查。沒出事，正是檢查的好時機。

常見問題

PHP2Shell 是什麼？

PHP2Shell 是 PHP 執行環境的重大漏洞，研究人員以 AI 協助找出；在特定條件下，攻擊者可能讓伺服器執行自己的程式。公司應先確認 PHP 版本、修補是否生效，以及有沒有異常紀錄。

只更新 WordPress 或外掛，可以修好 PHP2Shell 嗎？

不行。漏洞在 PHP 處理請求的階段，WordPress 開始工作之前就可能被觸發。要更新的是主機上的 PHP；WordPress 維護模式也不能取代修補。

PHP 要更新到哪一版？

影片對照 PHP 官方 10 月 21 日公告：8.5 分支為 8.5.12 以上、8.4 為 8.4.27 以上、8.3 為 8.3.36 以上、8.2 為 8.2.35 以上。8.1 以下請主機商處理或升級到有支援的版本，先在測試站確認相容性；發行版回補則以廠商安全公告確認。

租主機的公司，要自己更新 PHP 嗎？

先找主機商確認，不要只問有沒有修，而要問網站實際跑哪一版 PHP、修補是否已經生效。自己管理主機的公司，由工程師更新並確認 PHP 服務重啟；主機控制台與命令列可能不是同一套 PHP。

有 Cloudflare 就不用更新了嗎？

不是。10 月 21 日起，Cloudflare 免費方案也提供防護規則，但網站流量必須經過已開啟的代理。這是暫時降低風險，不能取代 PHP 更新和修補後檢查。

更新後，怎麼知道網站有沒有被入侵？

回頭檢查日誌：大量記憶體上限錯誤後接著 500 錯誤、PHPSESSID cookie 異常長或格式怪、PHP 程序不明原因反覆重啟，都值得請資安人員追查。單一跡象不是入侵定論，沒有這些跡象也不能保證安全；必要時從乾淨備份重建。

資料來源

回文章列表