PHP2Shell 利用 PHP 高風險漏洞，多國發布警報！WordPress 企業官網替代方案：免費、省心、更快、更安全

2026 年 10 月 21 日，PHP 發布緊急安全更新，修補兩個嚴重漏洞 CVE-2026-109618 和 CVE-2026-109619。攻擊者不用登入，送出一個請求就能在伺服器上執行任意程式碼。

發現漏洞的 Wiz Research 把這兩個漏洞串成一支攻擊腳本 PHP2Shell，在最新版 WordPress、Drupal、Joomla 上示範了不必登入的遠端程式碼執行（Wiz）。

WordPress 跑在 PHP 上。這次漏洞出在 PHP 本身，WordPress 和外掛更新到最新版也擋不住，所有 WordPress 企業官網都要處理。

PHP 高風險漏洞 CVE-2026-109618、CVE-2026-109619 與攻擊工具 PHP2Shell，CVSS 9.2

PHP 漏洞 CVE-2026-109618、CVE-2026-109619 概要

項目	內容
編號	CVE-2026-109618、CVE-2026-109619
官方名稱	RCE via OOM corruption、RCE via stale global state
評分	CVSS 4.0，9.2 分
後果	不必登入的遠端程式碼執行（RCE）
影響範圍	所有處理網頁請求的 PHP：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed
風險最高	Apache mod_php，網站程式碼執行前就會被攻擊
修補版本	PHP 8.5.12、8.4.27、8.3.36、8.2.35
無官方修補	PHP 8.1 及更早版本

CVE-2026-109618：PHP 記憶體不足（OOM）時可能中斷在請求資料只初始化一半的位置，之後清理請求時把無效資料當成有效資料使用。
CVE-2026-109619：請求結束、記憶體釋放後，部分內部狀態仍殘留，同一個工作行程處理下一個請求時可能先用上這份過期狀態。

多國發布警報，網站緊急下線

以下時間均為 2026 年 10 月 21 日。

歐盟 CERT-EU（NL Times）、英國 NCSC（Patchstack）、荷蘭 NCSC（Sansec）、日本國家網路統括室和 IPA（Impress Watch）陸續發布警報，要求盡快上修補程式，歐盟、英國和日本還建議來不及修補的先把網站下線。

攻擊已經開始

WordPress 資安公司 Patchstack 的即時記錄：

UTC 07:34：多家主機商回報網站遭到攻擊。
UTC 07:43：Cloudflare CTO 表示已看到早期攻擊，並上線了防火牆規則。
UTC 13:52：PHP 發布修補版本。
UTC 13:57：Patchstack 仍只看到試探性攻擊，預計修補細節公開後會增加。

Wiz Research 的 PHP2Shell 攻擊工具攻擊 WordPress，自動辨識目標並執行指令

荷蘭國家網路安全中心（NCSC）當時表示尚未確認實際攻擊。參考上一次：2024 年 6 月 PHP 漏洞 CVE-2024-4577 公開後，Akamai 在 24 小時內就看到了攻擊嘗試（The Hacker News）。

荷蘭、芬蘭政府網站下線

荷蘭眾議院（Tweede Kamer）網站暫時下線。足球俱樂部 Fortuna Sittard、警察工會 ACP、荷蘭皇家藥師協會 KNMP、公車公司 EBS 的網站，以及荷蘭大學和研究機構共用的部分 IT 網路也暫停了（NL Times）。
荷蘭 NCSC 自己的網站、科技網站 Tweakers、資安新聞網站 Security.NL 下線（Sansec）。
荷蘭政府身分驗證系統 DigiD、政府服務入口 MijnOverheid 暫停服務（Patchstack）。
芬蘭政府 IT 中心 Valtori 關閉多個國家機關的公開網站，包括芬蘭國土測繪局和赫爾辛基會展中心（Pasquale Pillitteri）。

日本：高市首相深夜呼籲，pixiv、DMM 等緊急維護

日本時間 21:55，首相高市早苗在 X 上發文（Impress Watch 轉載）：

皆様に、今夜に対応して頂きたい大至急のお願いです。（中略）公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

意思是：請今晚確認網站是否使用 PHP，日本時間 23 點修補程式發布後盡快套用；來不及修補的，可以先暫停網站。

日本國家網路統括室、IPA 也發出警報，部分地方政府預告暫停系統。同一篇報導列出的服務：

網路開店平台 BASE、托育服務 CoDMON（コドモン）從下午開始維護；
pixiv、DMM.com、niconico、櫻花網路（さくらインターネット）部分服務緊急維護，晚上 8 點後大量服務暫停；
《碧藍幻想》《賽馬娘 Pretty Derby》等遊戲暫停服務。

WordPress 維護模式擋不住

Sansec 指出：WordPress 和 Magento 內建的維護模式無效，PHP 在程式檢查維護開關之前就已經解析了請求。有效的做法是停掉 PHP-FPM，由 Web 伺服器直接回傳靜態維護頁。

所以 WordPress 官網當晚只有兩條路：有人登入伺服器升級 PHP，或者整站關掉。沒人管的網站只能開著等。

WordPress 企業官網為什麼最危險

PHP 層面的漏洞，WordPress 外掛管不了。 mod_php 下攻擊發生在網站程式碼執行之前，資安外掛、驗證碼、隱藏後台都沒用。Sansec 也說，只能升級伺服器上的 PHP，自己不管伺服器的只能催主機商。

大量伺服器還在用停止維護的 PHP。 資安公司 Mallory 10 月 20 日透過 Shodan 統計，約 88.4 萬台公網主機的回應標頭顯示 PHP 8.1 或更早版本，占回報版本號主機（約 150 萬台）的 59%（依回應標頭統計，不等於都受影響，見 The Hacker News）。這些版本沒有官方修補程式，只能找主機商要移植修補或升級 PHP，而舊佈景主題、舊外掛常常一升級就出錯。

每年都在花錢。 主機續約、維護費、付費外掛年費，出了事還有清理費用。一個只放公司介紹、業務、案例、新聞、徵才的官網，要一直執行 PHP + MySQL，還得有人在 10 月 21 日這樣的晚上守著伺服器。

我的方案：Astro + Cloudflare / GitHub / Vercel / Netlify

兩年前我就不再推薦客戶用 WordPress 和 PHP，已經把客戶網站全部遷移到 Astro 加 Cloudflare、GitHub、Vercel、Netlify 的組合。這些平台的免費方案完全夠企業官網使用，託管不花一毛錢，比原本的 WordPress 官網更快、更安全、更省心。

這次 PHP 漏洞，這些客戶的網站不用做任何處理，當晚照常瀏覽。我的部落格 zhaojian.net 也是這樣架的，同時提供 12 種語言版本。

做法很簡單：

Astro 在建置時產生全部頁面，上線的只有 HTML、CSS、JS 和圖片；
原始碼放在 GitHub，改文字、加新聞後提交；
Cloudflare Pages / Vercel / Netlify 收到提交後自動建置發布，幾分鐘上線，頁面從全球 CDN 送出。

更安全：伺服器上沒有 PHP、資料庫和後台登入頁，PHP2Shell 這類攻擊工具無從下手。以後 PHP、WordPress、外掛再出漏洞，都與網站無關。

更快：頁面是現成檔案，從離訪客最近的 CDN 節點直接送出，日本、中國、歐美瀏覽都快。

不花錢、不用維護：不用續約主機和伺服器，只剩網域費。沒有伺服器要登入，沒有程式要升級。

WordPress 與 Astro 靜態網站比較

	WordPress 官網	Astro 靜態網站
執行的程式	PHP + MySQL + 佈景主題 + 外掛	無，只有靜態檔案
這次的 PHP 漏洞	受影響，要連夜升級或關站	不受影響
託管費用	每年續約主機 / 伺服器	免費
日常維護	定期升級 WordPress、外掛、PHP	不需要
瀏覽速度	看伺服器效能和快取設定	CDN 直接送出
更新內容	登入後台編輯	提交後自動建置發布
多語言	靠多語言外掛	建置時產生各語言頁面

線上商城、會員登入、預約系統這類即時讀寫資料的功能需要另外規劃。聯絡表單、新聞、案例、徵才、多語言這些官網常用功能，靜態網站加第三方表單服務都能做到。

WordPress 搬家到 Astro 的步驟

整理頁面：列出全部頁面、文章、圖片和表單。
匯出內容：文章和頁面匯出成 Markdown，圖片一併下載。
保留網址：盡量沿用原網址，改了的設定 301 轉址，避免搜尋排名下降。
重做設計：照原樣還原，或換一套新設計，同時適配手機。
替換功能：表單換成第三方表單服務，流量統計換成不需要伺服器的方案。
切換網域：確認無誤後把網域指向新平台，舊伺服器到期不再續約。

常見問題

WordPress 網站會被 PHP2Shell 攻擊嗎？

會。漏洞在 PHP 本身，只要伺服器上的 PHP 不是 8.5.12、8.4.27、8.3.36、8.2.35 或主機商修補過的版本，都受影響，和 WordPress 版本無關。

開啟 WordPress 維護模式能防住嗎？

不能。PHP 在維護模式生效前就處理了請求。要嘛升級 PHP，要嘛停掉 PHP-FPM 改用靜態維護頁。

PHP 8.1 或更早的版本怎麼辦？

PHP 官方不再提供更新。可以找主機商要移植修補，或升級到 PHP 8.2 以上；佈景主題和外掛不相容的，可以考慮直接遷移到靜態網站。

靜態網站真的不用花錢嗎？

Cloudflare Pages、Vercel、Netlify、GitHub Pages 的免費方案足夠企業官網使用，只需要付網域費。

想把 WordPress 官網換掉？聯絡我

適合找我的情況：

企業官網用 WordPress，10 月 21 日晚上不知道該不該關站、找誰上修補；
伺服器還是 PHP 8.1 或更早版本；
每年要續約主機、伺服器，還要付維護費；
當初架網站的人聯絡不上，網站沒人管；
面向日本或海外市場，需要日文、英文等多語言官網。

我可以把你的 WordPress 企業官網遷移到 Astro 靜態網站：更快、更安全，不用每年續約主機和伺服器，提交後自動建置發布，不用再找人維護。

透過關於頁面上的微信（757118）或 X（@zhaoJianNet）聯絡我，傳來網站網址和需求，我給你具體的搬家方案。