如果你的網站是用 WordPress 做的，最近可能收到主機商的通知，或在新聞上看到「PHP 爆出嚴重漏洞」。這篇用白話說明：發生了什麼事、對網站主人有什麼影響、哪些網站要注意，以及為什麼小C建站的網站不受這次影響。
發生了什麼事？
PHP 是一種寫網站的程式語言。WordPress、Drupal、Joomla、Magento，還有很多接案公司幫客戶寫的網站，背後都是 PHP 在運作：每次有人打開網頁，伺服器上的 PHP 就會跑一次，把網頁做出來。
2026 年 10 月 21 日，PHP 官方發布了兩個嚴重漏洞的修補，編號是 CVE-2026-109618 和 CVE-2026-109619，資安圈叫它 PHP2Shell。
白話說：攻擊者不需要你網站的帳號密碼，只要對網站送出特製的請求，就可能在你的伺服器上執行他自己的程式。 就像有人不用鑰匙，就能從大門走進你的店裡。
這個漏洞有多嚴重？
- 嚴重程度 9.2 分（滿分 10）：屬於「重大」等級。
- 跟你裝了什麼外掛無關：問題出在 PHP 本身。資安公司 Patchstack 指出，就算是只有一行「Hello World」的網頁，只要 PHP 版本有漏洞，也能被攻擊。
- 影響範圍很大：PHP 5.4 以後的版本幾乎都受影響。Palo Alto Networks 在發布分析時，偵測到網路上有超過 2,260 萬個可能受影響的伺服器。
- 已經有人在用：美國網路安全局（CISA）在 10 月 26 日把這兩個漏洞列入「已知遭利用漏洞」清單，並建議無法立即更新的系統先下線。
對網站主人的實際影響
攻擊者一旦能在伺服器上執行程式，常見的後果包括：
- 網站被放進「後門」，之後隨時可以再進來
- 網站被改成轉址到詐騙或賭博網站
- 表單收到的客戶資料、會員資料外洩
- 伺服器被拿去寄垃圾信或挖礦，主機商因此停用你的帳號
- Google 把你的網站標示為「危險網站」，搜尋排名和客人信任一起受傷
最麻煩的是：被入侵的網站，外表可能完全正常，等發現時已經過了好幾週。
哪些網站要注意？
只要網站在伺服器上跑 PHP，都要確認 PHP 已經更新。常見的有：
特別要注意兩種情況：
- PHP 8.1 或更舊的版本：PHP 官方發布的修補版本是 8.5.12、8.4.27、8.3.36、8.2.35。8.1 以前的版本已經不在官方支援範圍，CISA 建議這類系統在更新前先下線。如果你的主機還在用舊版本，就是該升級的時候了。
- WordPress 本身也有漏洞：同一個月，WordPress 核心另外有一個漏洞（CVE-2026-87902），在特定條件下也可能讓攻擊者執行程式，而且已經被利用。WordPress 要更新到 7.1.2 以後的版本。
如果你的網站用 PHP，現在可以做的事
- 問主機商或工程師：「我們的 PHP 版本更新到修補版了嗎？」請他們給你明確的版本號。
- 把 WordPress 更新到 7.1.2 以後，外掛和佈景主題也一起更新。
- 還在用 PHP 8.1 或更舊版本：跟主機商確認有沒有修補；沒有的話，安排升級。
- 檢查網站有沒有異狀：多了不認識的管理員帳號、首頁被改、Google 出現危險網站警告。
- 換掉重要密碼：如果懷疑被入侵過，網站後台、主機、資料庫的密碼都換一次。
- 不要安裝來路不明的「修補外掛」：唯一完整的修法是更新 PHP，網路上流傳的設定調整只能降低風險。
為什麼小C建站的網站不受這次影響？
1. 發佈出去的網站，是事先做好的網頁
在小C建站按下發佈時，平台會把每一頁先做成完整的網頁檔案。訪客打開你的網站時，伺服器只是把做好的檔案送出去，不會執行 PHP，也不會執行網站自己的程式。攻擊者送再多特製的請求，也沒有程式可以讓他利用。
想知道發佈時平台做了哪些事，可以看按下「發佈」之後，發生了什麼事？
2. 整個平台都沒有使用 PHP
表單收件、文章系統這些需要伺服器處理的功能，由小C建站的平台統一提供，用的是 Java 和 TypeScript，沒有 PHP。
3. 編輯網站的環境和正式網站分開
你在編輯器裡改網站、網站 AI 幫你寫程式時，用的是每個網站各自獨立的雲端編輯環境，跟訪客看到的正式網站分開。
4. 更新是平台的工作，不是你的
你不需要知道網站用的是什麼版本、什麼時候該更新。伺服器軟體的更新由我們負責，你不用升級任何東西，也不用裝外掛。
老實說：沒有 PHP，不代表永遠不會有資安問題
任何軟體都可能有漏洞，小C建站用的軟體也一樣。差別在於：
- 能被攻擊的地方比較少：正式網站只送出做好的網頁檔案，不在每次有人瀏覽時執行程式。
- 修補由平台統一處理：有漏洞時，我們更新一次，所有網站一起受保護，不用等每個網站主人自己動手。
- 出事救得回來：平台資料每天加密備份；網站的每一次發佈都有紀錄，可以回到之前的版本（見改壞了也不怕）。
常見問題
我用 WordPress，要馬上搬家嗎？
不用急著搬。先請主機商或工程師把 PHP 和 WordPress 更新好，這是最重要的。如果你發現自己一直在擔心更新、外掛、資安，不想再管這些，再考慮換到由平台負責維護的做法。小C建站可以把 WordPress 網站搬進來。
我的網站放在 Wix、Shopify 這類平台上，需要做什麼嗎？
這類由平台管理伺服器的服務，伺服器的更新由平台負責，一般使用者不需要自己更新 PHP。如果不放心，可以看看你使用的平台有沒有發布相關公告。
小C建站的網站有表單，表單不用伺服器嗎？
要。表單送出的資料是交給小C建站平台處理，不是由你網站上的程式處理。平台由我們統一維護和更新，而且沒有使用 PHP。
我怎麼知道自己的網站是不是用 PHP？
如果你的網站是 WordPress、Drupal、Joomla，或是放在一般的「虛擬主機」上，幾乎可以確定是 PHP。不確定的話，直接問幫你架站的人或主機商最快。
結論
PHP2Shell 是近年影響最廣的網站漏洞之一，因為它不挑網站、不需要密碼，只要 PHP 沒更新就有風險。如果你的網站用 PHP，今天就請主機商或工程師確認版本。
如果你不想再為這種事擔心，小C建站的做法是：網站發佈成事先做好的網頁，伺服器的更新由平台負責，你只要專心經營你的生意。
資料來源
- 美國網路安全局 CISA：Critical Vulnerabilities in PHP Require Immediate Patching（2026 年 10 月 21 日發布，10 月 26 日更新）
- Patchstack：Major security alert: PHP vulnerable to critical RCE
- Palo Alto Networks Unit 42：Threat Brief: CVE-2026-109618, CVE-2026-109619
- SiteGround：Critical PHP vulnerabilities: SiteGround sites protected
- CIS：A Vulnerability in WordPress Could Allow for Remote Code Execution（CVE-2026-87902）
以上資訊於 2026 年 10 月 27 日查證。資安狀況變化很快，請以 PHP 官方與你的主機商最新公告為準。