經營 WordPress 網站，除了定期更新主程式與外掛，伺服器使用的 PHP 版本也需要注意。近期曝光的 PHP2Shell 資安漏洞，可能讓攻擊者在沒有帳號密碼的情況下入侵網站伺服器，嚴重程度高達 CVSS 9.2 分，PHP 官方已於 10 月 21 日緊急釋出安全更新。
本文主要內容
OpenAI 也推出免費的 php2shell-checker 開源工具，協助網站管理員確認 PHP 是否存在已知風險。透過 Codex、Claude Code 等 AI 程式開發工具，即使不熟悉 Linux 指令，也能請 AI 協助檢查網站、確認更新方式，甚至在取得必要權限後進行修復。
PHP2Shell 漏洞有多嚴重？WordPress 網站也受影響
PHP 是 WordPress、Drupal、Joomla 等網站系統的重要基礎，負責處理網站內容、登入及其他動態功能。這次的 PHP2Shell 涉及兩項 PHP 本身的漏洞，編號為 CVE-2026-109618 與 CVE-2026-109619。
在特定環境下，攻擊者可能利用特殊設計的網路請求，在未經登入的情況下遠端執行惡意程式碼，進而存取網站資料或影響伺服器運作。這次問題發生在 PHP 執行環境，因此即使 WordPress 主程式與外掛都已更新，仍可能受到影響。
PHP 官方已發布安全修補程式，資安業者也觀察到相關攻擊活動。對網站經營者來說，現在最重要的是確認主機使用的 PHP 版本，以及是否已安裝安全更新。
不懂程式也能檢查！Codex、Claude Code 都能協助排查
OpenAI 在 GitHub 公開的 php2shell-checker，可以透過網站網址或伺服器環境辨識 PHP 版本，再與已知的安全修補版本進行比對。
這款工具提供兩種檢查方式。只知道網站網址，可以使用 phpcheck-url 進行初步檢查；如果有伺服器存取權限，則能透過 phpcheck-server 確認網站實際使用的 PHP 版本。
工具也提供可整合至 Codex 的 Skill，讓使用者直接用自然語言提出需求。除了 Codex，Claude Code 等具備終端機執行能力、支援相關 Skill 工作流程的 AI 代理，也可以參考官方專案執行檢查，不過安裝及操作方式可能因工具而異。
使用者可以開啟 Codex 或其他支援的 AI 開發工具，複製以下提示詞進行初步版本排查：
請參考 OpenAI 官方 php2shell-checker 專案，檢查 https://example.com 是否受到 PHP2Shell 漏洞影響。請使用安全的版本檢查方式，不要執行漏洞攻擊測試，並以繁體中文整理檢查結果與建議。如果無法確認 PHP 版本，請告訴我需要哪些額外資訊，不要自行修改網站設定。
AI 可以協助取得官方工具、執行檢查並解讀結果，大幅減少自行查找指令與比對版本的工作。
不過，公開網站可能隱藏 PHP 版本資訊，檢查工具也不會實際驗證漏洞能否被利用。因此，即使顯示安全或無法判斷，也不能直接認定網站已完成修補，仍應以主機實際安裝的 PHP 套件與官方安全公告為準。
讓 AI 協助更新 PHP，必須注意主機權限與備份
如果確認網站使用受影響的 PHP 版本，Codex、Claude Code 等 AI 代理也能協助規劃修復工作，包括檢查伺服器環境、確認安全更新、評估網站相容性，以及更新後的功能測試。
但真正要讓 AI 執行修復，必須提供必要的主機與網站管理權限。例如伺服器 SSH 存取、Plesk 或 cPanel 管理權限，以及對應的部署與維護工具。只有公開網站網址，通常無法直接修改伺服器上的 PHP 環境。
如果希望 AI 協助完成整個修復流程，可以使用以下具備安全護欄的提示詞引導 AI 規劃：
請協助檢查目前管理的網站是否受到 PHP2Shell 影響，確認每個網站實際使用的 PHP 版本，以及是否已安裝官方安全修補。
如果需要更新，請先檢查網站與 PHP 新版本的相容性，確認網站及資料庫備份、回復方案，再提出修復步驟。任何套件更新、設定變更或服務重新啟動，都必須先取得我的確認。
修復完成後，請重新驗證 PHP 安全更新狀態、測試網站主要功能，並檢查伺服器紀錄與可疑檔案。如果缺少必要權限，請先說明需要哪些存取方式，不要要求我直接在對話中提供密碼或 API 金鑰。
授權 AI 存取正式網站時，務必注意帳號權限與資料安全。 建議優先使用權限受限的專用帳號，避免直接提供最高管理權限，並透過 SSH 金鑰、既有憑證管理工具或安全的連線方式授權。
此外，更新 PHP 可能影響舊版 WordPress 外掛、佈景主題及其他網站程式。正式執行前應完成備份，有條件的話先在測試環境驗證，避免修復漏洞後造成網站無法正常運作。
如果使用一般虛擬主機或 WordPress 代管服務，沒有伺服器管理權限，也可以請 AI 協助確認主機商提供的 PHP 版本資訊，或整理需要向主機商確認的安全更新項目。
PHP 更新到哪個版本？修復後還要檢查什麼？
PHP 官方已針對受支援的分支推出安全更新，各版本的最低修補版本標準如下表所示：
| PHP 分支 | 已修補版本 |
|---|---|
| PHP 8.5 | 8.5.12 以上 |
| PHP 8.4 | 8.4.27 以上 |
| PHP 8.3 | 8.3.36 以上 |
| PHP 8.2 | 8.2.35 以上 |
| PHP 8.1 與更舊版本 | 建議升級至受支援版本，或確認系統供應商是否提供安全修補 |
如果網站使用 Ubuntu、Debian 等 Linux 系統，部分安全修補可能由系統供應商直接整合至原有套件，因此版本號未必會與 PHP 官方發布的版本完全相同。應同時確認套件修訂版本及發行商的安全公告。
對於一台伺服器管理多個 WordPress 網站的情況，也要注意各網站可能使用不同的 PHP 版本。更新終端機預設的 PHP，不一定會同步更新所有網站實際使用的執行環境。
完成更新後，建議請 AI 協助確認網站前後台、登入、表單及重要功能是否正常，並重新檢查安全修補狀態。如果網站曾長時間使用受影響的 PHP 版本，還應檢查伺服器紀錄、異常管理員帳號及可疑檔案，確認是否曾遭到入侵。
值得注意的是，Cloudflare 已於後台公告全面部署預設 WAF 防護規則，透過交易特徵辨識攔截已知攻擊。然而 Cloudflare 官方公告 也明確提醒，防火牆防護只能降低被攻擊的風險，無法取代 PHP 本身的漏洞修補，伺服器端仍必須儘速完成套件更新。
這次 PHP2Shell 事件也提供網站經營者一個重新檢查主機安全的機會。透過 Codex、Claude Code 等 AI 工具，過去需要自行查詢指令、確認版本及閱讀技術文件的工作，現在都能交由 AI 協助處理。只要妥善管理存取權限、備份與操作授權，也能讓後續的網站維護更加容易。
延伸閱讀
推特、GitHub 下載變超慢？中華電信 Fastly 連線異常，Cloudflare WARP 一鍵解決
Mac 儲存空間不夠用？RemoveMacAI 幫你清掉不用的 Apple Intelligence 模型
不用 VPN 也能跨區註冊 Meta Muse！靠 Gemini Spark 三分鐘完成
若近期有購車規劃，可以使用 electrify.tw 的推薦連結 前往特斯拉官網訂購，或將推薦碼連結提供給銷售顧問即可獲得 NT$ 8,000 購車優惠。若您即將交付新車，不妨參考 JOWUA 周邊配件。
若覺得本站內容實用，歡迎追蹤 LINE TODAY 與 Facebook 粉絲專頁。若有任何問題或建議，歡迎加入我們的 LINE 官方帳號 聯繫。
也可以將 electrify.tw 設為 Google 偏好來源，日後在 Google 搜尋更容易看到我們的報導：
