作者：默思編輯部 發布：2026-10-22
PHP自1995年問世至今已超過30年，是網路世界最老牌的伺服器端語言之一。即使到了2026年，根據W3Techs最新統計，PHP仍是全球約七成網站（含WordPress等建立在其上的CMS）的伺服器端語言，市佔遠高於任何競爭語言。這次PHP2Shell（CVE-2026-109618、CVE-2026-109619）剛好提醒大家一個容易被忽略的事實：一個語言用得夠久、夠廣，不代表核心就沒有風險，反而意味著任何核心層級的問題，影響面會大到難以想像。
這次兩個漏洞的成因都跟請求結束時的記憶體清理有關——OOM中斷造成資料只初始化一半、或request-scoped狀態在釋放後被下一筆請求誤用。這類問題通常藏在語言執行環境最底層、最少被重新檢視的角落，正常開發流程幾乎不會動到這些程式碼，也因此一旦出問題，往往是陳年舊帳，而不是新功能引入的新錯誤。
W3Techs的版本統計顯示，PHP 8系列約佔六成多的使用率，但仍有接近三成的網站跑在已經停止維護的PHP 7、甚至還有一小部分停留在PHP 5。這次PHP官方只為目前受支援的分支釋出修補，PHP 5與早期PHP 7完全沒有修補可用——等於這批為數不少的舊版站台，從漏洞公開那一刻起就長期暴露在風險之中，除非主動升級，否則沒有「等修補」這個選項。
這起事件與其當成單一漏洞來看，不如當成一次提醒：版本治理不是升級完就結束的一次性工程，而是要定期檢視支援週期、建立緊急修補的應變流程，否則下一次類似事件發生時，受衝擊最大的永遠是那些「一直沒事所以沒升級」的系統。
參考資料