WordPress站長注意：更新WordPress修不了PHP2Shell　主機商修補進度一次看

PHP 重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）衝擊全球網站，WordPress 網站首當其衝。不過許多站長還不清楚，這次的漏洞不在 WordPress 核心、佈景或外掛，而是在執行 WordPress 的 PHP 本身，所以更新 WordPress 完全修不了。

據美國科技媒體 The Verge 報導，WordPress 資安業者 Wordfence 提醒站長，這次的修補不會透過 WordPress 自動更新送達，站長必須先弄清楚「誰負責管你的 PHP」。由於攻擊在 WordPress 載入之前就會發生，Wordfence 這類外掛型防火牆本身就是在有漏洞的 PHP 裡執行，攔不住這類攻擊，頂多只能在事後協助偵測是否遭入侵。發現漏洞的 Wiz 已示範，可以對最新版 WordPress、Drupal、Joomla 達成免登入遠端執行程式碼。

網站維護服務 mySites.guru 的監測數據顯示，修補釋出前一天，所監測的 WordPress 與 Joomla 網站中，有22.7% 仍在使用 PHP 8.1 或更舊的版本，16.6% 甚至還在用 PHP 7 以前的版本，這些版本都不會有官方修補版；修補釋出當天到 UTC 13時52分，只有0.08% 的網站回報已更新到修補版本。WordPress 官方建議使用 PHP 8.3，但仍把 7.4 列為相容版本；PHP 8.2 則將於2026年12月31日停止支援。

主機商的修補速度不一。根據追蹤35家主機商狀態的 ActiveSet 整理（10月24日更新，內容以各主機商自己的說法為準、未經實測），WP Engine、Flywheel、Kinsta、SiteGround、Cloudways、DreamHost、Namecheap 已表示完成修補，其中 WP Engine 連 PHP 7.4 都提供了修補版本，SiteGround 則是直接關閉有問題的 PHP 功能。WordPress.com、VIP 與 Pressable 的母公司 Automattic 表示，旗下服務在修補釋出前就已受到保護，客戶不需採取行動。

仍有部分主機商在修補中，包括 Bluehost、HostGator、Liquid Web、Nexcess 與 Rocket.net；Hostinger、GoDaddy 的 VPS 方案需要用戶自行處理，DigitalOcean、AWS Lightsail 等自管主機也必須由用戶自己升級。追蹤者提醒，許多主機商的聲明不包含 VPS、獨立主機或舊方案，而且就算套件更新了，PHP 程序也要重新啟動才會生效。

另外要注意，PHP2Shell 和 WordPress 自己的兩個核心漏洞不同：7月公開的 wp2shell（CVE-2026-63030、CVE-2026-60137）已在 WordPress 7.0.2、6.9.5 修補；9月公開的 CVE-2026-87902 則已被美國 CISA 列入已遭利用漏洞清單，修補已向後移植到4.7版本線。WordPress 網站必須同時確認 WordPress 已更新、PHP 也已升級。

WordPress 站長檢查清單

• 到後台「工具」→「網站健康狀態」→「資訊」→「伺服器」查看 PHP 版本
• 修補版本為 8.5.12、8.4.27、8.3.36、8.2.35；用 Linux 發行版套件的，以套件更新紀錄中是否列出這兩個 CVE 為準，版本號可能不變
• 使用虛擬主機或代管服務：到主機商狀態頁確認修補進度，或直接詢問客服
• 自管 VPS 或主機：自行升級 PHP，並重新啟動 Apache、PHP-FPM 與背景佇列程序
• 還在用 PHP 8.1 以前的版本：沒有官方修補，應盡快升級到 8.2 以上（最好是 8.3）
• 同時把 WordPress 更新到最新的修補版本，處理 wp2shell 與 CVE-2026-87902
• 有使用 Cloudflare 的，保持防火牆規則開啟，但不要把它當成唯一防線

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• Martin Cid Magazine：PHP Patches PHP2Shell Flaws, but WordPress Sites Can’t Install the Fix Themselves
• ActiveSet：PHP2Shell Host Patch Status Tracker
• The Repository：Hosts across the WordPress ecosystem race to protect customers
• Cybernews：A severe PHP scare has WordPress sites bracing for impact
• Wiz：PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
• Robert Ressl：CVE-2026-87902: Critical WordPress file inclusion and conditional RCE

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合PHP 官方公告、資安業者分析、主機商公告及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。