最近看到 PHP 漏洞的消息，你可能會想：我的網站明明還能正常開啟，為什麼需要修補？有買主機或網站維護，還要另外付錢嗎？

這篇用簡單的方式，說明這次問題發生在哪裡，以及夏木樂如何協助處理。

01｜這次 PHP 漏洞，主要和什麼有關？

這次出問題的是主機上的 PHP，也就是幫網站執行工作的軟體。

你可以把主機想成一台讓網站運作的電腦，PHP 則是裡面使用的工具。當有人開啟網頁、送出表單或操作後台時，主機可能就會用 PHP 完成這些工作。

這次 PHP 被發現有安全漏洞。在某些情況下，駭客可能利用漏洞，讓主機執行原本不應該執行的指令。

因此，這次主要需要檢查與更新的是主機上的 PHP，而不是改幾個網頁文字、換圖片，就能解決。

PHP 官方已在 2026 年 10 月 21 日發布安全更新，修補這次被稱為 PHP2Shell 的兩項重大漏洞。

• CVE-2026-109618：記憶體不足處理漏洞——PHP 在記憶體不足時，可能未正確處理尚未完成的資料。
• CVE-2026-109619：記憶體釋放後使用漏洞——PHP 可能再次使用已經釋放的記憶體資料。

02｜網站還能正常開啟，也需要處理嗎？

需要確認。網站能用，不代表沒有安全漏洞。

就像門鎖有問題，門仍然可以正常開關，但不代表它能安全地擋住外人。

網站也是一樣。首頁能開啟、後台能登入，只能代表目前功能還能運作，不能因此判斷主機上的 PHP 已經安全。

即使網站只有公司介紹和產品資料，沒有會員、購物車，也可能使用 PHP，仍然需要檢查。

不過，有漏洞不代表已經被駭客入侵。先確認是否受到影響，再進行適合的處理，才是這次的重點。

03｜如果被駭客利用，可能發生什麼事？

依照主機的設定與權限，可能出現：

• 網頁內容被偷偷修改。
• 主機上的部分資料被讀取。
• 網站被放入惡意程式。
• 網站異常，甚至無法使用。

雖然不是每個網站都會發生以上情況，但不能等到網站出問題，才開始處理。

04｜為什麼不直接更新就好？

因為修補漏洞的同時，也要確認原本的網站能正常使用。

有些舊網站的程式，無法直接配合較新的 PHP 版本。貿然切換，可能造成後台登不進去、表單送不出去，或部分功能出錯。

**尤其網站如果已經多年沒有更新，原本使用的程式與工具可能已經老舊，甚至停止提供安全更新。**這時就可能需要連同網站程式一起調整的費用，都比重新製作來得貴很多。

因此，工程師需要先檢查網站與主機環境，確認相容性，再安排修補、必要的程式調整與功能測試。如果短時間內無法完成，也需要評估暫時降低風險的措施，並安排後續處理。

我們也建議企業在網站使用 3～5 年時，安排一次更新評估，檢查系統是否仍有支援、程式能否持續升級，以及是否需要改版。平時的維護與安全更新也應持續進行，避免等到緊急修補時，才發現多年累積的問題已經難以處理。

05｜夏木樂這次怎麼處理？

我們分成兩個階段，並透過信件通知客戶進度。

第一步：先降低風險

如果暫時不能完成修補，會先採取適合的措施，降低漏洞被利用的風險，並寄信通知客戶。

這個階段稱為「已緩解」。

**「已緩解」代表先降低風險，還不等於全部修好。**後續仍會安排完整修補。

如果可以直接修好，就直接進入下一步，不需要刻意分兩次處理。

第二步：完成修補，再通知客戶

完成修補後，我們會寄信通知客戶已完成。

如果遇到需要更多時間處理的問題，會由專案窗口說明，並安排後續工作。

客戶如有需要，也可以向我們索取標準的完成截圖，留作公司內部紀錄。

06｜主機不在夏木樂，也能協助處理嗎？

有購買夏木樂網站維護、主機的客戶，仍會納入這次處理安排。

不過，主機如果放在客戶公司，或由其他廠商管理，我們需要先和對方確認如何連線、取得必要權限，以及什麼時間可以操作。

就像要進入一間房間修東西，需要先請管理者開門，才能開始工作。

確認好處理方式後，再安排修補。

07｜這次需要另外付費嗎？

本次 PHP 漏洞的處理方式如下：

以上是這次 PHP 漏洞的安排，其他問題或服務仍需依合約與實際需求確認。

相關證明文件，需要付費嗎？

本次修補完成後，如有需要，我們可提供統一格式的完成截圖，不另外收費。

如果需要額外製作報告、詳細說明或其他證明文件，則會另外評估費用與製作時間。

08｜收到通知後，我需要做什麼？

先看信件中寫的是哪一種狀態：

如果不確定自己購買哪些服務，或看不懂目前的處理進度，可以直接詢問夏木樂專案窗口或者line官方帳號做詢問。

網站持續運作，背後也需要有人照顧

從確認問題、安排修補，到完成後的通知，夏木樂會協助追蹤處理進度，讓你知道網站目前的狀態，不必自己面對看不懂的技術問題。

把心力留給公司的業務，網站的日常照顧，交給夏木樂。