PHP2Shell（CVE-2026-109618、CVE-2026-109619）的修補版 10/21 就出了，但只修 PHP 8.2 到 8.5。資安監測組織 Shadowserver 10/27 開始改為通報「已停止支援的舊版 PHP」，依 iThome 引述其監測資料，全球仍有逾 90 萬個對外 IP 跑著 PHP 8.1 以前的版本，台灣約 1.3 萬個。這些主機拿不到官方正式更新，是這波攻擊最容易下手的目標。
事件經過
- 10/21：PHP 官方發布 8.5.12、8.4.27、8.3.36、8.2.35，修補兩個 CVSS v4.0 評分 9.2 的嚴重漏洞（俗稱 PHP2Shell）。8.1 以前已停止支援，不會有正式版更新，官方只針對 7.4、8.0、8.1 提供最小化的原始碼修補（backport），給自行編譯的使用者。
- 10/27：Shadowserver 表示，過去一週旗下蜜罐誘捕系統觀察到大量針對 PHP 的攻擊嘗試，但目前尚未確認有成功利用。
- 由於缺乏可靠、安全的大規模偵測方法，Shadowserver 沒有直接標記哪些主機有 PHP2Shell 漏洞，而是在 Vulnerable HTTP 報告中新增「eol-php」標籤，凡是版本低於 8.2 的 PHP 都會被標記並通報。
重點
| 項目 | 內容 |
|---|---|
| 誰統計的 | Shadowserver Foundation（非營利資安監測組織） |
| 統計對象 | 對外連網、版本為 PHP 8.1 以前（低於 8.2）的系統 |
| 計算單位 | 以不重複 IP 計算，不是網站或主機名稱；一個 IP 可能跑多個站，實際暴露的 PHP 執行個體可能更多 |
| 全球總數 | 逾 90 萬個 IP（依 iThome 引述 Shadowserver 資料；總數未能從 Shadowserver 公開貼文直接核對，未核實） |
| 美國 | 逾 28 萬個（最多） |
| 中國 | 約 7.8 萬個 |
| 日本 | 約 6.8 萬個 |
| 台灣 | 約 1.3 萬個（Shadowserver 地圖顯示 13,313） |
| 香港 | 約 2.5 萬個（僅見於 Shadowserver 貼文附圖，未核實） |
要注意，各家機構的統計方法不同，數字不能直接比較。例如 Mallory 10/20 用 Shodan 統計，約有 88.4 萬台對外主機顯示為不受支援的 PHP 版本；Shadowserver 則是以自家掃描、按 IP 計算。共同結論是：仍在跑舊版 PHP 的對外系統數以十萬計。
PHP 各版本支援狀態
| 版本 | 安全支援到期 | PHP2Shell 修補 |
|---|---|---|
| 8.5 | 2029/12/31 | 8.5.12 |
| 8.4 | 2028/12/31 | 8.4.27 |
| 8.3 | 2027/12/31 | 8.3.36 |
| 8.2 | 2026/12/31（剩約 2 個月） | 8.2.35 |
| 8.1 | 已於 2025/12/31 結束 | 無正式版，僅原始碼修補 |
| 8.0 | 已於 2023/11/26 結束 | 無正式版，僅原始碼修補 |
| 7.4 | 已於 2022/11/28 結束 | 無正式版，僅原始碼修補 |
| 7.3 以前、5.x | 早已結束 | 官方未提供任何修補 |
對你的實務建議
企業 / IT 管理者
- 先盤點：列出所有對外服務的 PHP 實際版本，包括廠商設備、套裝軟體、外包網站、測試機裡內建的 PHP。對外標頭（X-Powered-By）可能被隱藏或不準，請以主機上的套件版本為準。
- 8.2～8.5：立即更新到 8.2.35／8.3.36／8.4.27／8.5.12 以上，並重啟 PHP-FPM、Apache 等服務，確認新版本真的生效。
- 8.1 以前：優先升級到受支援版本。8.2 只剩到 2026/12/31，建議直接規劃到 8.4 或 8.5，免得年底又要再升一次。
- 暫時無法升級：向 Linux 發行版或長期支援（LTS）廠商確認是否有回補修補套件；若自行編譯，可套用官方提供的 7.4／8.0／8.1 原始碼修補。同時盡量把這些系統移出公網、限制來源 IP 或放在 WAF 後面。
- 如果單位有訂閱 Shadowserver 的免費網路通報，留意報告中的「eol-php」標籤，名單上的 IP 就是需要優先處理的機器。
- 檢查近期存取紀錄與異常程序、新增檔案（例如網站目錄中不明的 .php 檔），確認沒有被植入後門。
一般用戶
- 自己架部落格、網站（WordPress 等）的人：登入主機商後台，看 PHP 版本是不是 8.2 以上；多數虛擬主機可以在控制台直接切換版本，切換前先備份。
- 用的是代管或外包網站：直接問主機商或廠商「PHP 是哪一版、PHP2Shell 修了沒」，請對方回覆版本號。
- 一般上網的人不需要額外動作，但這段期間若收到「網站中毒、請下載修復工具」之類的訊息，請不要點，直接向網站官方查證。
資料來源
- iThome：Shadowserver示警逾90萬個無法直接取得修補的舊版PHP執行個體暴露於公開網路，臺灣也有1.3萬個（2026/10/27）
- The Shadowserver Foundation：PHP Attacks Update（Mastodon 貼文，含各國統計圖）
- Shadowserver Dashboard：Trending queries（PHP2Shell 說明）
- Huntress：Rapid Response: php2shell
- PHP 官方：Supported Versions
- endoflife.date：PHP
- ThreatCluster：PHP2Shell leaves millions of servers on PHP versions with no official fix
- Axis Intelligence：PHP Statistics 2026
發表留言