2026 年 10 月 21 日，PHP 官方緊急發布安全更新，修補兩個嚴重漏洞，資安界稱為 php2shell，嚴重程度 9.2 分（滿分 10 分）。PHP 是 WordPress 的底層程式，這次的問題不在外掛，也不在佈景主題，而是在 PHP 本身。傑哥整理這件事對網站擁有者的意義，以及為什麼不需要 PHP 的靜態網站，這次完全不用擔心。
發生了什麼事：PHP 本身出現兩個重大漏洞
這兩個漏洞的編號是 CVE-2026-109618 與 CVE-2026-109619，官方確認攻擊者在不需要登入的情況下就可能利用。成功的話，攻擊者能讓你的主機執行他想執行的指令，例如竄改網站檔案、植入後門、竊取資料庫，或把你的主機拿去發垃圾信、攻擊別人。
官方在 10 月 21 日發布了四個修補版本：PHP 8.5.12、8.4.27、8.3.36、8.2.35。PHP 8.1 以前的版本早就停止官方支援，不會有修補，而且資安業者表示，公布當天就已經看到早期的攻擊流量。
為什麼 WordPress 網站特別需要關注
WordPress 每一次有人打開網頁，都是由主機上的 PHP 現場組出頁面。只要網站在跑 PHP，就有機會成為目標，不管你的 WordPress 核心、外掛、佈景主題是不是最新版。
這也是這次事件最麻煩的地方：你把 WordPress 更新到最新版，沒有用；裝了 WordPress 的安全外掛，也不一定攔得住，因為漏洞可能在 WordPress 的程式還沒開始執行時就被觸發。真正能解決問題的，是主機上的 PHP 本身要更新。
如果你的網站放在共享主機，更新 PHP 的是主機商，你只能等，或打電話去問。這類主機通常不止你一個網站，主機商要逐台處理，需要時間，這段空窗期就是風險。
WordPress 站長現在可以做的三件事
傑哥的建議很實際，不用恐慌，按順序做：
- 確認目前的 PHP 版本。 登入 WordPress 後台，到「工具」→「網站狀態」→「資訊」→「伺服器」，就能看到 PHP 版本。
- 請主機商確認是否已經修補。 有些主機商會把修補內容放進原本的版本，版本號看起來沒變，所以直接問主機商最準。VPS 使用者則要自己更新到上面列的修補版本，更新前先備份網站檔案和資料庫。如果主機商反應快的話，今天（2016/10/21）就應該更新 PHP 版本。
- 檢查網站有沒有異常。 例如網站目錄出現不認得的檔案、主機突然變慢。發現可疑狀況，先保留紀錄，再處理，不要急著刪檔。
如果你的網站還在用 PHP 8.1 或更舊的版本，情況可能更糟！因為沒有 PHP 的修補支援。需要先規劃升級到PHP 8.2以上。
這次事件的共通問題：只要網站在跑程式，就有被打的可能
傑哥今年已經多次處理過 WordPress 的資安事件，7 月 WordPress 核心的 wp2shell 漏洞就讓好幾個站被塞進假管理員。這次輪到 PHP。每一次的原因不同，但共通點很清楚：網站每次有人來訪就要現場執行程式、查詢資料庫，這個流程本身就是攻擊者要找的入口。
這不是 WordPress 的錯，WordPress 的後台和外掛生態仍然是它的強項。但是，如果你的網站只是公司介紹、服務項目、案例和文章，其實不需要為了這些內容，長期承擔「程式要一直更新、漏洞一爆就要緊急處理」的風險。
固化的靜態網站：沒有 PHP，這次漏洞跟它無關
Jhost 的做法不一樣。文章和頁面寫好後，系統會把整個網站「固化」成一份份現成的網頁檔案，放在全球各地的機房。訪客打開網頁時，直接拿到現成的檔案，不需要執行任何程式，也不需要查詢資料庫。
對照這次的 php2shell：漏洞發生在 PHP 執行請求的過程，而 Jhost 的網站上根本沒有 PHP 在跑。沒有程式可以被利用，攻擊者再怎麼送出特殊請求，對方拿到的永遠只是同一份網頁檔案。這次不需要升級 PHP、不需要檢查版本，也不用等主機商處理。
而靜態網站也不是「絕對不會有任何問題」，管理仍然要小心。但是在這次事件這類「底層程式有洞」的情況下，沒有程式在跑的網站，受影響的機會小得多，維護的壓力也低得多。
哪些網站適合固化，哪些還是需要 WordPress
適合固化成靜態網站的，是以介紹為主的網站：公司官網、產品介紹、診所與事務所、工作室、品牌部落格。這類網站內容一個月改不了幾次，卻要承擔 WordPress 的所有維護和風險，很不划算。
需要購物車、會員登入、線上課程這類「要記住訪客資料」的網站，還是需要資料庫和程式，WordPress 搭配對應功能仍然是合適的選擇，這時更要確保 PHP 與主機隨時保持更新。
傑哥的建議是：先處理眼前最緊急的問題，今天就去確認自己網站的 PHP 版本，之後有時間再評估網站是不是真的需要 WordPress 來製作？如果你的網站不時常更新，只是形象網站，應該可以評估是否使用靜態網站架設，歡迎與我們的客服聯繫，聊聊你的網站需求。
參考資料
本文依 2026 年 10 月 21 日已公開的資訊整理，實際修補狀況請以 PHP 官方公告與主機商通知為準。
