最新消息

PHP 官方於 2026 年 10 月 21 日緊急發佈安全更新，修補兩項被稱為 PHP2Shell 的重大漏洞（CVE-2026-109618 及 CVE-2026-109619）。兩項漏洞的 CVSS v4.0 評分均為 9.2（Critical）。

PHP2Shell 是甚麼？

PHP 是很多網站及網上系統使用的程式語言，包括不少 WordPress、Drupal、Joomla 及自訂 PHP 網站。這次漏洞位於 PHP 程式執行環境本身，而非單一網站外掛或佈景主題。攻擊者可能在 無須登入 的情況下，透過特製網絡請求在受影響的伺服器執行程式，導致網站被入侵、資料外洩或服務中斷。

哪些網站需要注意？

如網站使用尚未修補的 PHP 版本，就應盡快檢查。PHP 官方已發佈以下修補版本：

PHP 8.1 及更舊的官方已停止支援版本亦可能受影響，建議盡快遷移至受支援版本。部分 Linux 發行版或託管供應商可能把安全修補回移至原有套件，因此不能單憑版本號判斷，應向供應商核實實際修補狀態。

網站負責人現在應怎樣做？

暫未能更新？應優先限制對外存取，必要時暫停受影響服務。網站應用程式防火牆（WAF）可提供額外保護，但不能完全取代 PHP 安全更新。

使用 WordPress 或網站託管服務的用戶要留意：更新 WordPress、外掛或網站程式，不等於已更新伺服器上的 PHP。若網站由開發公司或主機服務商管理，請盡快向對方確認修補情況。

重要提醒：使用受影響版本不代表網站已被入侵，但由於漏洞可造成嚴重風險，應及早採取行動。

詳細資訊可參閱 PHP 官方安全公告。