2026 年 10 月 21 日，日本首相高市早苗在社群媒體上罕見地發出緊急呼籲，要求全國組織立即確認網站是否使用 PHP，並盡快套用安全修補或暫時停止對外服務。觸發這場警報的，是兩個資安評分高達 9.2 分的 PHP 重大漏洞：PHP2Shell。這一次漏洞不只讓日本 ANA 航空、MUFG 銀行、厚生勞動省等大型機關網站相繼暫時下線之外，影響遍及全球與各產業。PHP 是目前全球超過 77% 的網站所使用的伺服器語言，這不只是開發者的問題，而是所有靠官網做生意的企業主都應該了解的風險。
文章目錄
- PHP 近期發生了什麼事？PHP2Shell 事件完整說明
- PHP 是什麼？為什麼這麼多網站都在用？
- 缺乏保護的 PHP 會帶來哪些資安風險？
- 你的網站可能受影響嗎？自我評估清單一次看
- 資安不是一次性的工作，關於專業維護的重要性
- 關於PHP更新的常見問題 FAQ
【資源分享】2026 PHP 重大漏洞 PHP2Shell： 日本首相緊急呼籲，你的企業網站安全嗎？
- PHP 近期發生了什麼事？PHP2Shell 事件完整說明
- PHP 是什麼？為什麼這麼多網站都在用？
- 缺乏保護的 PHP 會帶來哪些資安風險？
- 你的網站可能受影響嗎？自我評估清單一次看
- 資安不是一次性的工作，關於專業維護的重要性
- 關於PHP更新的常見問題 FAQ
PHP 近期發生了什麼事？PHP2Shell 事件完整說明
2026 年 10 月 21 日，PHP 官方基金會發布了兩個重大安全漏洞的修補程式，這兩個漏洞由 OpenAI 與 Google 旗下資安公司 Wiz 的研究團隊共同發現，並統稱為「PHP2Shell」。這兩個漏洞目前已有概念驗證（PoC）攻擊程式在網路流通，代表攻擊者可以直接照著執行，無需自行研發攻擊工具。
| 漏洞代號 |
CVSS 評分 |
攻擊方式 | 影響範圍 |
| CVE-2026-109618 | 9.2（嚴重） | 無需登入即可遠端執行任意程式碼（RCE） | 所有對外處理 HTTP 請求的 PHP 網站 |
| CVE-2026-109619 |
9.2（嚴重） |
透過記憶體釋放後重用（Use-After-Free）執行任意程式碼 | 所有對外處理 HTTP 請求的 PHP 網站 |
來自日本首相高市早苗的緊急呼籲
10 月 21 日當晚，日本首相高市早苗在 X（前身為 Twitter）上發出緊急公告，這在日本政府的歷史上極為罕見：
「請各組織立即確認自己的公開網站是否使用 PHP。修補程式將在今晚 11 點發布，請立即套用。若目前無法立即修補，暫時停止網站的對外服務，是最有效的降低風險方式。」 — 日本首相 高市早苗，2026 年 10 月 21 日
她的貼文引發大規模關注，瀏覽次數據各媒體報導達數千萬次。日本政府官房長官也連續多次公開警告，官方表示「擔心應對遲緩將對日本經濟與社會造成衝擊」。從日本企業、公家機關，甚至到歐盟的政府網站都暫時下線維修，可知這波影響之所以如此廣泛，是因為 PHP 幾乎是整個網路基礎設施的共用語言 — 從政府到銀行、從航空到電商，絕大多數網站的後端都跑在 PHP 上。
PHP 是什麼？為什麼這麼多網站都在用？
PHP（Hypertext Preprocessor）是一種專為網頁開發設計的伺服器端程式語言，自 1994 年問世以來已超過 30 年。根據 W3Techs 的統計，目前全球已知伺服器語言的網站中，約有 77% 以上使用 PHP。
你每天造訪的許多網站都跑在 PHP 上，包括 WordPress、Drupal、Joomla，以及大量企業官網、電商平台、政府網站。PHP 之所以這麼普及，原因很簡單：它免費、開源、部署容易，且與 MySQL 資料庫搭配的 LAMP 架構（Linux + Apache + MySQL + PHP）是業界最成熟的網站建置方案之一。
換句話說：如果你的網站是用 WordPress 架設，或是由任何使用 PHP 的 CMS 建立，你的網站就使用了 PHP—也就是這次漏洞的影響範圍。
缺乏保護的 PHP 會帶來哪些資安風險？
PHP 的高普及率讓它成為駭客最常鎖定的攻擊目標。除了這次的 PHP2Shell 事件，以下是 PHP 網站常見的資安威脅類型：
| 攻擊類型 |
說明 |
對企業的實際影響 |
| 遠端程式碼執行（RCE） | 攻擊者可在你的伺服器上執行任意程式碼，無需登入帳號 | 伺服器被完全控制、資料被竊取或刪除 |
| SQL 注入（SQL Injection） | 惡意輸入滲透資料庫查詢，取得或竄改資料庫內容 | 客戶個資外洩、訂單資料被篡改 |
| 跨站腳本攻擊（XSS） | 在網頁中植入惡意腳本，攻擊訪客的瀏覽器或竊取 Cookie | 訪客帳號被盜、詐騙頁面嵌入官網 |
| 檔案包含漏洞（File Inclusion） | 惡意利用 PHP 的檔案引用功能，載入並執行外部惡意程式 | 網站被植入後門程式，長期被監控或濫用 |
| 網站置換（Defacement） |
入侵後竄改網站首頁或內容，植入政治宣傳或惡意訊息 |
品牌形象重創、客戶信任流失 |
你的網站可能受影響嗎？自我評估清單一次看
無論你是企業主還是網站管理者，以下幾個問題可以幫助你快速判斷風險程度，如果任何一項符合，就代表你的網站有 PHP 漏洞的潛在風險，應立即聯繫你的開發商或主機商確認 PHP 版本是否已完成更新。
- 我的網站是用 WordPress、Drupal、Joomla 或其他 CMS 架設的
- 我不確定自己的網站使用什麼伺服器語言
- 我的網站上線後，超過 6 個月沒有進行任何技術更新
- 我的網站建置後，從未請技術人員進行資安審查
- 我的主機是使用共享虛擬主機（Shared Hosting）方案
- 我的網站有會員登入、表單填寫、線上購物等互動功能
資安不是一次性的工作，關於專業維護的重要性
這次 PHP2Shell 事件提醒我們一件事：網站上線只是起點，後續的安全維護才是讓網站持續為企業服務的關鍵。這次漏洞的影響範圍之廣，連日本首相都不得不親自在社群媒體上公開呼籲，這在資安通報的歷史上相當罕見。這是最值得台灣企業主記住的教訓，不是 PHP 有多危險，而是「不更新的網站才是真正的風險」。對企業主來說，最實際的保護方式包含：
- 選擇提供定期維護服務的網頁設計公司，確保伺服器與套件版本持續更新
- 在建置網站時就要求技術端符合 OWASP Top 10 基本安全標準
- 定期進行備份，確保萬一遭受攻擊時能快速還原
- 若網站有處理客戶個資或金流，應額外考慮資安健診服務
創造力網頁設計在網站建置與維護的過程中，會協助客戶評估主機環境與安全設定，確保網站上線後持續符合基本資安標準。如果你對自己的網站安全狀況有疑慮，歡迎與我們聯繫
關於PHP更新的常見問題 FAQ
Q1：我的 WordPress 網站會受到 PHP2Shell 影響嗎？
可能會。WordPress 本身是用 PHP 寫的，如果你的主機環境的 PHP 版本未更新至包含修補程式的最新版，就處於風險之中。你不需要自己動手，聯繫你的主機商或網站開發商，詢問「PHP 有沒有更新到最新版本」即可確認。此外，即使 PHP 版本已更新，也應同步更新 WordPress 核心、外掛和佈景主題，因為過時的外掛本身也是常見的攻擊入口。
Q2：我怎麼知道我的網站用的是哪個版本的 PHP？
最簡單的方法是直接問你的主機商或開發商。如果你有伺服器管理權限，可以在終端機執行 php -v 查看版本號。也可以透過主機商的控制台（如 cPanel）查看目前的 PHP 版本設定。如果你完全沒有技術能力確認，這件事應該交給你的網站維護廠商處理，這也是定期維護合約存在的意義之一。
Q3：PHP2Shell 修補之前，我的網站需要先下線嗎？
不一定要完全下線，但如果你的技術團隊無法在短時間內完成更新，暫時關閉高風險的互動功能（如登入頁面、聯絡表單、會員系統）是合理的暫時措施。日本政府和首相高市早苗的建議就是如此：「無法立即修補的話，暫時停止對外服務是最有效的降低風險方式。」如果你的網站只有靜態的展示頁面，風險相對較低，但仍應盡快完成更新。
Q4：這次漏洞對哪類企業的影響最大？
影響最大的是有以下特徵的網站：處理用戶登入與個人資料（會員系統）、有線上購物或金流功能、使用共享主機環境（因為同台主機上其他網站若被入侵，可能影響你的網站）、長期未更新 PHP 版本的舊網站。相對而言，純靜態展示型網站（沒有後端互動）的風險較低，但若伺服器上同時跑著其他 PHP 應用，仍有連帶風險。
Q5：如何預防未來的 PHP 資安風險？
從企業主的角度，最實際的預防措施有四：第一，簽訂包含定期更新的網站維護合約，確保伺服器環境持續保持最新；第二，要求開發商在建置時遵循 OWASP Top 10 的基本安全標準；第三，啟用定期自動備份，即使遭受攻擊也能快速還原；第四，如果網站有處理客戶個資，考慮每年進行一次資安健診。PHP 漏洞每年持續出現，防禦的關鍵不是期待「不再出現漏洞」，而是建立一套能快速應對的維護機制。
