作者：Jacks｜JRM Web Design 顧問・英國生醫碩士・前保健品牌資深數位行銷 最後更新：2026-10-24
本文更新於 2026-10-24：補上 jrm.tw 實際切換到 PHP 8.4 的經驗、錯誤畫面與解法。
新聞說 PHP 出了重大漏洞，台灣有 2.8 萬個網站受影響。你是不是覺得：「我的網站是請人做的，應該跟我沒關係吧？」
如果你的網站是 WordPress，答案是：很可能有關係。WordPress 就是用 PHP 寫的。這篇用老闆聽得懂的話，講清楚網站安全這次出了什麼事、怎麼查自己的 PHP 版本、要更新到哪一版，以及為什麼網站維護不能等出事才做。
PHP2Shell 是什麼？一張表看懂這次漏洞
PHP2Shell 是 PHP 核心的兩個遠端執行漏洞，駭客不用登入就可能在你的主機上跑程式。數發部資安署估計，國內約 2.8 萬個網站受影響，其中約 200 個是政府機關網站[1]。
PHP 是什麼？用開店比喻：網站像一間店，PHP 就是店裡的電路系統。電路有瑕疵，就算店門有鎖（HTTPS 小鎖頭），小偷還是可能從配電箱進來。
| 項目 | 內容 |
|---|---|
| 漏洞編號 | CVE-2026-109618、CVE-2026-109619[2] |
| 嚴重程度 | CVSS v4.0 評分 9.2（重大）[2] |
| 攻擊條件 | 不需要帳號密碼，用特製的網路請求就能觸發[2] |
| 受影響環境 | 所有處理網頁請求的 PHP，包含 PHP-FPM、Apache mod_php、php-cgi、LiteSpeed[2] |
| 官方修補日 | 2026-10-21[2] |
| 台灣影響 | 約 2.8 萬個網站、約 200 個政府機關網站[1] |
為什麼這次這麼多人緊張？因為 PHP 撐起全球約 7 成網站，包括 WordPress、Drupal、Joomla 這些常見的網站系統[3]。資安署要求政府與企業優先更新；來不及更新的，要先用網站應用程式防火牆（WAF）擋，必要時暫停網站服務[1]。
我的網站要更新嗎？PHP 版本對照表
只要網站跑 PHP，就要更新；8.2 到 8.5 升到下表的修補版，8.1 以下要直接升級大版本。PHP 官方已經說明，8.1 和更舊的版本不再由官方提供更新[2]。
| 你的 PHP 版本 | 至少要更新到 | 官方安全支援到期 | 建議 |
|---|---|---|---|
| 8.5.x | 8.5.12 | 2029-12-31 | 更新小版本即可 |
| 8.4.x | 8.4.27 | 2028-12-31 | 更新小版本即可 |
| 8.3.x | 8.3.36 | 2027-12-31 | 更新小版本即可 |
| 8.2.x | 8.2.35 | 2026-12-31 | 先補洞，年底前規劃升到 8.3 以上 |
| 8.1 以下（含 7.x） | 官方無修補版 | 已終止 | 升級到 8.3 以上，或問主機商有無延伸支援 |
WordPress 官方建議主機使用 PHP 8.3 以上；7.4 雖然還能跑，但官方直接寫明已經停止支援，可能讓網站暴露在資安漏洞下[5]。
5 步驟查 PHP 版本自救：老闆今天就能做
先查版本、對表、備份，再更新，最後確認網站正常，五步驟大約 30 分鐘。不懂技術也沒關係，第 4 步可以整段交給主機商。
步驟 1：查目前的 PHP 版本
- 登入 WordPress 後台，點左側「工具」→「網站健康狀態」。
- 切到「資訊」分頁，展開「伺服器」，找「PHP 版本」那一行。
- 不是 WordPress？登入主機後台（例如 cPanel），通常在「選擇 PHP 版本」或「軟體」區塊看得到。
陷阱：健康檢查寫「建議版本」不代表已補洞
這是我今天親自踩到的。我打開 jrm.tw 的網站健康狀態，畫面寫著網站「執行於建議版本的 PHP 8.3.35」，還列在「已通過的測試」裡。看起來很安心，對吧？
但對照上面的表，8.3 系列要 8.3.36 才補好這次的洞。WordPress 健康檢查看的是大版本（8.3 有沒有達標），不會幫你比對最新的修補小版本。所以綠燈只代表「大方向對」，不代表「門已經鎖好」。一定要拿版本號，自己對一次官方修補版。
步驟 2：對照版本表
拿你查到的版本號，對上一段的表格。小版本差一號（例如 8.3.35 對 8.3.36）也算沒補到，不能用「差不多」帶過。
步驟 3：更新前先備份
備份網站檔案和資料庫，而且要存一份在主機以外的地方。很多主機商後台有一鍵備份；用 WordPress 的話，也可以用備份外掛。備份就像搬家前先拍照，東西放錯位置時才找得回來。
步驟 4：更新 PHP，或請主機商處理
用共享主機的話，小版本更新通常是主機商負責。PHP 官方表示，Linux 發行版和長期支援廠商已經提前拿到修補[2]，所以最快的做法是直接問主機商。可以複製這段：
您好，請問我的主機目前 PHP 版本是否已更新到修補 CVE-2026-109618、CVE-2026-109619 的版本（8.5.12／8.4.27／8.3.36／8.2.35）？若尚未更新，預計何時完成？謝謝。
如果你是 8.1 以下，要換大版本，這時舊外掛、舊主題可能不相容。建議先在測試站試，或交給維護廠商處理。
步驟 5：更新後檢查網站
回到網站健康狀態確認版本號，再用電腦和手機打開首頁、點主要按鈕、填一次聯絡表單。表單收得到通知信，才算真的完成。
實測：jrm.tw 升到 PHP 8.4 後出現嚴重錯誤，原因是記憶體上限被重設
換 PHP 大版本後網站出錯，先檢查記憶體上限（memory_limit）有沒有被打回主機預設值。這是我自己的 jrm.tw 在 2026-10-24 遇到的真實狀況。
我的主機後台是 cPanel。PHP 版本的開關在「Software（軟體）」區塊，點「Select PHP Version」進去。
進到 PHP Selector，原本顯示的 PHP 版本是 8.3（current）。我在下拉選單選 8.4，按下 Apply 套用。
套用完回到網站，畫面直接變成 WordPress 的「這個網站發生嚴重錯誤」。說不緊張是騙人的，等於店門口突然拉下鐵捲門。
回頭查才找到原因：切到 8.4 之後，PHP 的記憶體上限（memory_limit）變回主機預設的 128M。原本調高的設定沒有跟著過來，網站外掛和功能需要的記憶體超過 128M，程式跑到一半就停了。
解法很快：在同一個 PHP Selector 切到「Options」分頁，把 memory_limit 改成 3G，網站馬上恢復正常。
從這次經驗，換 PHP 版本前後建議做 3 件事：
- 換大版本前，先截圖記下 Options 頁的設定，特別是 memory_limit。
- 換完立刻打開網站首頁和後台各看一次，出現錯誤先檢查 memory_limit。
- 記憶體不一定要開到 3G，數字要看主機方案和網站大小，不確定就問主機商。
來不及更新怎麼辦？
PHP 官方列了一些暫時降低風險的設定，但也明講這些做法不會讓網站變安全，只有更新才是完整解法[2]。這些設定要改伺服器參數，老闆不建議自己動手。比較實際的做法是：
- 請主機商或工程師開啟網站應用程式防火牆（WAF）。
- 網站有收個資或金流，更新前考慮暫時關閉表單或網站，這也是資安署給的建議[1]。
- 把更新時間寫進行事曆，不要拖過這週。
網站維護為何重要？這次事件給老闆的 3 個教訓
網站維護的價值，就是在漏洞公布那天，有人已經知道你的版本、備份和更新路徑。這次事件把三件平常沒人在意的事攤在陽光下。
教訓 1：沒人知道版本，就沒人知道要不要補
很多老闆的網站是幾年前請人做的，做的人早就聯絡不到。漏洞新聞出來，第一個問題「我們是哪一版？」就答不出來。維護的第一步，是有人隨時答得出這個問題。
教訓 2：每個版本都有保存期限
PHP 每個大版本有 2 年完整支援，再 2 年只修重大安全問題，之後就停止更新[4]。PHP 8.2 在 2026-12-31 到期，等於兩個多月後，下一個漏洞就不會再有官方修補。網站跟牛奶一樣有保存期限，只是過期了不會發酸，會被駭。
教訓 3：PHP 只是一層，外掛才是最常破的地方
這次是 PHP 核心出事，比較少見。平常更常見的是外掛：資安公司 Patchstack 統計，2024 年 WordPress 生態系新增的漏洞有 96% 出在外掛[6]。所以維護不是一年補一次 PHP，而是 PHP、WordPress 核心、外掛、主題一起顧。
維護一年要花多少、包含哪些項目，我在這篇拆過帳：網站維護費用怎麼算？2026 行情＋三種網站年度總成本試算。WordPress 核心更新的判斷方式，可以看 WordPress 7.1 更新總整理。
每月網站安全檢查清單
這份網站安全檢查清單每月做一次，大約 20 分鐘，能在小問題變大問題前抓到。
| 檢查項目 | 去哪裡看 | 合格標準 |
|---|---|---|
| PHP 版本 | WordPress 網站健康狀態 | 等於或高於官方最新修補版 |
| WordPress 核心 | 後台「控制台 → 更新」 | 沒有待更新項目 |
| 外掛與主題 | 後台「外掛」頁 | 全部最新，沒用的刪掉 |
| 備份 | 主機後台或備份外掛 | 最近 7 天內有備份，且存在主機外 |
| HTTPS 小鎖頭 | 瀏覽器網址列 | 沒有「不安全」警告 |
| 表單與通知信 | 自己填一次聯絡表單 | 收得到通知信 |
想做更完整的自我檢查，可以照這篇的五大項走一遍：網站健檢怎麼做？免費 5 大項自我檢查清單。
常見問題
網頁會有病毒嗎？
會有風險。網站被入侵後，可能被植入惡意程式碼，把訪客轉到詐騙網站或下載惡意檔案。這次 PHP 漏洞屬於能讓攻擊者在主機上執行程式的類型，所以站長要盡快把 PHP 更新到官方修補版。
使用 https 的網站就一定安全嗎？
不一定。HTTPS 只代表訪客和網站之間的傳輸有加密。主機上的 PHP、WordPress、外掛或主題有漏洞，網站一樣可能被入侵。
更新 PHP 會不會讓網站壞掉？
同一個大版本內的小版本更新，例如 8.3.35 到 8.3.36，主要是修補問題，相容性風險較低。跨大版本，例如 7.4 升到 8.3，比較容易遇到舊外掛不相容。不管哪一種，更新前都先備份；換大版本後也要檢查記憶體上限（memory_limit）有沒有被重設成主機預設值。
主機商會自動幫我更新 PHP 嗎？
要看方案。有的主機商會自動更新小版本，大版本則要你自己在後台切換。最穩的做法是寫信問主機商目前版本與預計更新時間。
PHP 8.1 以下怎麼辦？
PHP 官方已不再為 8.1 以下提供更新，這次只提供原始碼補丁給自行編譯的人。一般網站建議直接升級到 8.3 以上，或詢問主機商是否有延伸支援。
下一步：今天就查一次 PHP 版本
打開網站健康狀態，抄下 PHP 版本號，對一次上面的表。差一號就寄信給主機商。這件事花不到 10 分鐘，卻可能是今年最划算的 10 分鐘。
參考資料
[1] iThome（2026-10-22）. 數發部：PHP重大漏洞影響約2.8萬個國內網站，約200個政府機關網站受影響，要求優先修補、必要時暫停服務. 連結
[2] The PHP Group（2026-10-21）. Security advisory: Critical remote code execution vulnerabilities, update now. php.net. 連結
[3] iThome（2026-10-22）. 【資安日報】10月22日，PHP發布緊急安全更新，修補震驚全球的重大漏洞PHP2Shell. 連結
[4] The PHP Group. Supported Versions（擷取 2026-10-22）. php.net. 連結
[5] WordPress.org. Requirements（擷取 2026-10-22）. 連結
[6] Patchstack. State of WordPress Security in 2025（2024 年資料，擷取 2026-10-08）. 連結
