全球網站伺服器近期爆出重大資安危機！廣泛應用於 WordPress、Drupal 及各類網站系統的 PHP，遭揭露兩項被統稱為「PHP2Shell」的高風險漏洞，嚴重程度達到 CVSS 9.2 分，攻擊者甚至可能在不需要登入網站的情況下，遠端執行惡意程式碼，對網站資料與伺服器安全構成威脅。OpenAI 也於 2026 年 10 月 21 日公開免費開源檢查工具php2shell checker，讓網站管理員能透過網站網址、終端機或 Codex AI 代理，快速檢查 PHP 版本是否落入已知風險範圍。
PHP2Shell 是什麼？PHP爆出兩項重大資安漏洞
PHP 是目前全球網站大量使用的伺服器端程式語言，也是 WordPress 等內容管理系統的重要運作基礎。這次曝光的 PHP2Shell 並非單一網站外掛或應用程式漏洞，而是發生在 PHP 執行環境本身，因此影響範圍遠比一般網站程式漏洞廣泛。
根據 PHP 安全公告，這次事件涉及兩項漏洞，分別為 CVE-2026-109618 與 CVE-2026-109619，兩者的 CVSS v4.0 嚴重程度評分均達 9.2 分。
漏洞主要與 PHP 記憶體管理及錯誤處理機制有關。當伺服器收到經過特殊設計的 HTTP 請求時，可能觸發記憶體異常，進而造成敏感資料外洩、服務中斷，甚至讓攻擊者取得遠端程式碼執行（RCE）能力。
受影響環境包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed 等常見 PHP 執行方式，其中 Apache 搭配 mod_php 的環境，被認為具有特別高的攻擊風險。
PHP2Shell 攻擊已出現！PHP 官方緊急釋出安全更新
PHP2Shell 原先規劃於 10 月 22 日公開相關修補資訊，但因部分漏洞細節提前外流，官方將資安公告與修補作業提前至 10 月 21 日。
Cloudflare 也證實，已經觀察到針對 PHP2Shell 的惡意攻擊流量，並提前部署網站應用程式防火牆（WAF）防護規則，降低客戶網站暴露於漏洞攻擊的風險。
對於沒有使用 Cloudflare，或尚未確認主機 PHP 安全更新狀態的網站管理員來說，最重要的工作仍是檢查 PHP 版本，並儘速安裝對應的安全修補程式。
目前 PHP 官方已推出以下修補版本：
| PHP 分支 | 已修補版本 |
|---|---|
| PHP 8.5 | 8.5.12 以上 |
| PHP 8.4 | 8.4.27 以上 |
| PHP 8.3 | 8.3.36 以上 |
| PHP 8.2 | 8.2.35 以上 |
| PHP 8.1 與更舊版本 | 已停止官方一般安全維護，建議升級至受支援分支 |
OpenAI 推出 php2shell-checker！免費開源工具快速檢查 PHP 版本
為協助網站管理員快速確認系統是否使用受影響的 PHP 版本，OpenAI 在 GitHub 公開「php2shell-checker」開源專案，並提供 Codex Skills 整合功能，讓不熟悉複雜資安指令的使用者，也能透過 AI 協助完成基本版本檢查。
這款工具採用 Apache License 2.0 開源授權，主要以 Node.js 執行，不需要額外安裝第三方 npm 套件，支援網站網址與本機 PHP 環境兩種檢查方式。
與部分需要實際觸發漏洞的滲透測試工具不同，php2shell-checker 採取相對保守的偵測方式，不會主動傳送漏洞利用程式碼，而是透過 PHP 版本資訊比對已知受影響範圍。
如果使用網址檢查，工具會讀取網站 HTTP 回應標頭中的 Server、X-Powered-By 等資訊，判斷是否能辨識 PHP 版本；若能登入主機，也可以直接檢查本機 PHP 執行檔版本，另外工具也支援 JSON 格式輸出與不同結束代碼，方便網站維運人員整合自動化檢查流程。
phpcheck-url 和 phpcheck-server 差在哪？
OpenAI 提供的 Codex Skills 分成 phpcheck-url 與 phpcheck-server，兩者最大的差別在於是否擁有伺服器存取權限，以及取得 PHP 版本的方式。
| 比較項目 | phpcheck-url | phpcheck-server |
|---|---|---|
| 檢查對象 | 公開網站網址 | 主機 PHP 執行環境 |
| 使用條件 | 知道網址即可 | 需要主機存取權限 |
| 偵測原理 | 讀取 HTTP 標頭 | 查詢主機 PHP 版本 |
| 是否需要 SSH | 不需要 | 視部署環境而定 |
| PHP 版本資訊 | 可能被隱藏或修改 | 可取得實際 CLI 版本 |
| 檢查可信度 | 初步參考 | 較高，但須確認網站實際執行環境 |
其中網址檢查方式特別適合沒有 VPS 管理權限、使用一般虛擬主機或代管服務的站長，不過如果網站刻意隱藏 PHP 版本資訊，工具就可能無法判斷結果。
至於自行架設 VPS、管理多個 WordPress 網站等伺服器面板的管理員，則建議優先確認網站實際綁定的 PHP-FPM 或 Apache 執行版本。
如何安裝 php2shell-checker？透過 AI 幫網站檢查漏洞
如果平常就有使用 OpenAI Codex 協助開發網站或維護伺服器，可以直接安裝 OpenAI 官方提供的 php2shell-checker Skills，讓 Codex 協助執行檢查並整理判斷結果。
首先開啟 Codex，輸入以下指令，要求安裝兩個 PHP 檢查技能：
$skill-installer install both skills from https://github.com/openai/php2shell-checker安裝完成後，如果只想檢查公開網站，可以輸入底下指令，將 example.com 換成自己經營的網站網址即可：
$phpcheck-url check https://example.comCodex 會依照 Skill 指引執行對應的版本檢查，並回報可辨識的 PHP 版本及風險判斷結果。
這種方式適合 VPS 或獨立伺服器管理員，除了查詢 PHP 版本，也能進一步請 Codex 協助確認網站實際使用的執行環境，避免只檢查到終端機預設的 PHP 版本。
PHP2Shell 檢測結果怎麼看？OK 不代表網站完全安全
php2shell-checker 的回傳結果主要分成 OK、VULNERABLE 與 UNKNOWN 三種狀態，管理員可以透過這些資訊決定下一步的檢查方向。
| 檢查結果 | 結束代碼 | 代表意義 |
|---|---|---|
| OK | 0 | PHP 穩定版本高於工具內建風險界線 |
| VULNERABLE | 1 | PHP 版本落在已知受影響範圍 |
| UNKNOWN | 3 | 無法取得版本或無法判斷修補狀態 |
如果顯示 VULNERABLE，代表目前辨識到的 PHP 版本可能存在 PHP2Shell 風險，應儘速確認主機更新狀態，並安裝已修補版本。
如果顯示 UNKNOWN，不代表網站沒有漏洞，可能只是網站隱藏了 PHP 版本、使用反向代理，或工具無法辨識特定版本格式。
即使結果顯示 OK，也只能代表版本號通過工具內建的比較規則，並不代表工具已經實際驗證 PHP 安全修補，也不能排除網站存在其他資安問題。
網站檢查出 PHP2Shell 漏洞怎麼辦？
如果網站目前使用 PHP 8.2、8.3、8.4 或 8.5，建議優先確認是否已更新至官方釋出的對應安全版本，如果仍使用 PHP 8.1、PHP 7.4 或更早版本，則應儘速規劃升級到仍受支援的 PHP 分支。
如果伺服器使用 Debian、Ubuntu 等 Linux 發行版提供的 PHP 套件，還需要確認是否已安裝發行商提供的安全修補。