PHP2Shell 是 2026 年 10 月公開的嚴重 PHP 漏洞組合（CVE-2026-109618、CVE-2026-109619），攻擊者可在未登入情況下遠端執行程式碼（Unauthenticated RCE）。香港電腦保安事故協調中心（HKCERT）及政府電腦保安事故協調中心（GovCERT）已發出極高度風險警示，並指出漏洞正被積極利用。香港中小企若使用 WordPress、共用主機、cPanel MultiPHP 或自管 VPS，應立即檢查主機 PHP 版本，並升級至安全版本：PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；僅做防火牆／WAF 緩解並不等於完成 PHP 修復。
PHP2Shell 是什麼？為何香港網站要重視
PHP2Shell 是業界對上述兩項 PHP 核心漏洞的通稱。兩項漏洞均可導致遠端程式碼執行：攻擊者毋須有效帳號，即可在受影響的 PHP 行程上觸發惡意邏輯。對面向互聯網的網站、API 或管理後台而言，風險等同於「公開入口被直接接管」。
香港官方資訊可參考：
- HKCERT 保安通報：PHP 多個漏洞（2026-10-22）
- HKCERT 網誌：警告關鍵 PHP2Shell 漏洞，企業須即時檢視並修補
- GovCERT 警示 A26-10-36
- PHP.net 官方公告（2026-10-21）
對香港網站安全而言，重點不是「有沒有聽過這個名字」，而是你的主機 PHP 版本是否已落在安全建置編號之內。
邊個 PHP 版本安全？受影響範圍一覽
按 HKCERT／PHP 專案公布，安全建置為：
| 系列 | 安全版本（含此版及之後） | 備註 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 建議盡快升至此版或更新 |
| PHP 8.4 | 8.4.27 | 同上 |
| PHP 8.3 | 8.3.36 | 同上 |
| PHP 8.2 | 8.2.35 | 同上 |
| PHP 8.1 或更舊 | 已結束官方支援（EOL） | 須向主機商查詢 backport，或升級至仍受支援系列 |
規則很直接：同一系列中，版本號低於上表者視為受影響。 緩解措施（例如臨時關閉特定路徑、加強 WAF）只能降低部分攻擊面，不能取代升級至安全建置。要完成真正的 PHP 修復，目標是「執行中的 PHP」達到上表編號。
香港中小企常見環境：WordPress／共用主機／VPS 點處理
WordPress 網站
大多數香港 SME 的 WordPress 本身不是「PHP 發行版」，真正決定風險的是伺服器上的 PHP runtime。即使主題與外掛保持最新，只要底層 PHP 仍低於安全版本，CVE-2026-109618／CVE-2026-109619 風險仍然存在。建議：
1. 在主機面板或透過 `php -v`／資訊頁確認目前 PHP 版本字串。 2. 在允許的情況下切換至含安全修補的 MultiPHP／Select PHP Version。 3. 升級後重載網站、檢查外掛相容性，並再次核對版本號。
共用主機與 cPanel MultiPHP
不少本地／海外共用主機提供 cPanel「MultiPHP Manager」或同類選單。操作上通常是：為域名選擇較新的 PHP 版本 → 套用 → 清快取 → 再驗證。若面板只提供到仍受影響的小版本，必須開 ticket 要求主機商部署安全建置，而不是自行假設「已選最新系列就等於已修」。
VPS／雲主機自管
若你自行管理 Ubuntu／Debian／AlmaLinux 等，應透過發行版套件來源或官方 PHP 套件庫升級至安全版本，並重啟 php-fpm／Apache／Nginx 相關服務。升級後用實際回應標頭或 CLI 確認，避免「套件已裝但網站仍指向舊 binary」的落差。
有關穩定主機與版本管理，亦可一併參考 HKINT 的 網站寄存（Web Hosting） 方案說明。
建議修復步驟（可交 IT／主機商執行）
1. 盤點：列出所有對外網站、Staging、Cron 用到的 PHP 版本（含 CLI）。 2. 對照：與 8.5.12／8.4.27／8.3.36／8.2.35 比對；8.1 或更舊一律列為高優先。 3. 升級或要求 backport：共用主機開單；VPS 則排程維護視窗升級。 4. 驗證：升級後再次讀取版本；抽查關鍵表單、登入、結帳流程。 5. 持續監察：關注 HKCERT／GovCERT／PHP.net 後續通報；不要停留在「只做了 WAF」。
若內部沒有專責維運，最穩妥是把「檢查 + 升級 + 驗證」一次交由熟悉香港主機環境的團隊處理，避免改錯 MultiPHP、搞斷外掛或漏掉次要子網域。
搵我哋修：諮詢與網站安全檢查
PHP2Shell 的修補窗口短，公開利用與 PoC 報道已出現。與其逐個面板試錯，不如直接做一次主機 PHP 版本與 WordPress PHP 升級檢查。
如需協助確認你現時版本是否受影響、安排 PHP 修復或整體香港網站安全檢查，請透過 聯絡我們 提交網站網址與主機類型（共用／cPanel／VPS），HKINT 技術團隊會按你的環境建議可行升級路徑。
常見問題
Q：只開 WAF 或改檔案權限，算不算已修復 PHP2Shell？
A：不算完整修復。官方與 HKCERT 均強調更新至安全建置才是徹底方案；緩解措施只能降低部分風險。目標仍是 PHP 8.5.12／8.4.27／8.3.36／8.2.35（或主機商確認的等效 backport）。
Q：我的 WordPress 外掛全部最新，是否就安全？
A：外掛更新很重要，但不能替代主機 PHP 版本升級。CVE-2026-109618、CVE-2026-109619 屬於 PHP 核心問題，必須處理 runtime。
Q：PHP 8.1 還能繼續用嗎？
A：PHP 8.1 及更舊版本已結束 PHP 專案官方更新。應向主機／發行版查詢是否提供向後移植修補，否則應升級至仍受支援的系列並達安全建置編號。
Q：可不可以請 HKINT 代為檢查及修復？
A：可以。請到 聯絡頁 說明網站與主機環境，我們可協助檢查主機 PHP 版本、規劃 WordPress PHP 升級，以及跟進修復後驗證。服務範圍以實際評估為準，不會誇大「一鍵免疫」。
