作者：默思編輯部 發布：2026-10-21
PHP2Shell（CVE-2026-109618、CVE-2026-109619）的修補版本已於2026年10月21日釋出，分別是8.5.12、8.4.27、8.3.36與8.2.35。PHP官方另外也為7.4、8.0、8.1釋出原始碼層級的回溯修補（backport），提供給仍自行編譯、或等不到發行版套件更新的使用者。但這些回溯修補不是常態性支援，而是因應這次事件的例外處理，不代表PHP 7.4／8.0／8.1重新恢復官方維護。
根據多家資安媒體整理，漏洞本身的成因存在於PHP 5以後的所有版本，但PHP官方僅針對目前仍在支援週期內的分支釋出修補。換句話說，還在跑PHP 5或早期PHP 7的網站，目前沒有官方修補可用，等於只能靠升級版本或額外防護層來降低風險。這類老舊版本常見於多年沒有翻新的內部系統、舊版CMS外掛生態，或是「能動就不要動」心態下被長期擱置的網站。
資安廠商普遍的建議是：先盤點所有對外服務的PHP版本與執行模式（mod_php被認為風險最高），能升級的立刻排程升級；真的卡在舊版、短期內無法升級的系統，應考慮暫時下線、收回內網，或在WAF層擋下已知的攻擊特徵（Cloudflare等廠商已針對此次事件釋出對應規則）。版本盤點往往比寫新防護規則更花時間，建議現在就啟動，不要等到真正出事才回頭清點資產。
這次事件也再次提醒：長期不升級的語言版本，風險不會因為「一直沒事」而消失，只是還沒被人盯上。考慮到PHP本身撐起全球相當大比例網站的後端，而這些網站裡有不少正是建立在WordPress、Drupal、Joomla、Magento等不會特別標示「我用PHP」的CMS與電商系統上，受影響的範圍其實遠比單純統計「PHP使用者」來得廣，維運者很可能並不知道自己的系統底層就跑在受影響的PHP版本上，這也是這次事件特別需要主動盤點、而不是等通知的原因。
參考資料