2026 年 10 月 21 日，PHP 專案公布了 2 項嚴重漏洞，並釋出修正版本。未登入的外部攻擊者只要送出一次特製的請求，就可能在伺服器上執行程式。媒體已開始把這兩項漏洞稱為「PHP2Shell」。

PHP 是 WordPress 與許多中小企業官網背後的程式語言，也有不少自行架設的電子報工具以 PHP 運作。本文整理寄送電子報的公司今天該確認的事項。

什麼是 PHP2Shell（CVE-2026-109618、CVE-2026-109619）

根據 PHP 官方的安全公告，內容如下：

項目 內容
漏洞 CVE-2026-109618（處理記憶體不足時的記憶體損毀）與 CVE-2026-109619（記憶體釋放後，內部狀態仍殘留）共 2 項
嚴重程度 兩項的 CVSS v4.0 分數皆為 9.2（嚴重）
影響 無需驗證即可遠端以網頁伺服器使用者的權限執行程式碼
影響範圍 所有處理網頁請求的 PHP 環境，其中 Apache 的 mod_php 被認為風險最高
修正版本 PHP 8.5.12、8.4.27、8.3.36、8.2.35（10 月 21 日釋出）
舊版本 PHP 8.1 以前的版本已結束官方支援；7.4、8.0、8.1 另有釋出最小限度的修補

PHP 表示，更新是唯一完整的解決方法，調整設定只能降低風險。

根據資安研究人員與媒體報導，在公開揭露之前就已出現攻擊嘗試，攻擊程式碼也已在流傳。

台灣電腦網路危機處理暨協調中心（TWCERT/CC）也已發布相關消息，建議儘速更新至修正版本；官網若由委外廠商或主機業者代管，應向對方確認 PHP 版本與修補狀況；無法立即修補時，考慮將對外系統與網際網路隔離或暫停服務，並檢查存取紀錄是否有遭入侵的跡象。

PHP2Shell 對電子報的影響

對寄送電子報的公司來說，風險有兩種。

1. 官網遭到入侵

WordPress 等以 PHP 架設的官網一旦被入侵，最新消息或部落格文章中可能被植入假公告，或導向惡意網站的連結。

如果直接拿這些文章來製作電子報，就等於由自家的電子報把讀者帶往危險網站。不只會失去讀者的信任，垃圾郵件檢舉增加後，之後的電子報也會更難送達。

2. 寄送系統遭到入侵

如果您在自家伺服器上使用以 PHP 運作的電子報工具，或 WordPress 的電子報外掛，可能會發生以下情況：

  • 訂閱者名單（電子郵件地址與姓名）遭竊
  • 自家伺服器被拿來大量寄送垃圾郵件或釣魚郵件
  • 網域信譽因此下降，連正常的電子報也進不了收件匣

使用 WordPress 或電子報外掛的情況

WordPress 本身與電子報外掛都在 PHP 上運作。即使把 WordPress 與外掛更新到最新版，只要 PHP 本身仍是舊版，這次的漏洞就沒有修補。PHP 版本可在主機業者的管理後台或公告中確認。

今天的檢查清單

要做的事 確認方式
確認 PHP 版本 在主機業者的管理後台或公告中，確認是否為上述修正版本。若不是，請洽詢主機業者，或請管理者更新
無法立即更新時 與管理者討論 PHP 公告中的暫時性設定（只能降低風險，無法完全排除）。TWCERT/CC 建議考慮將對外系統隔離或暫停服務
更新 WordPress 與外掛 雖然無法修補這次的漏洞，但能減少其他入侵管道
檢查官網內容 最近是否出現不記得發布過的文章或陌生連結
查看電子報寄送量 是否有未排程的寄送，或寄送量突然暴增
查看垃圾郵件檢舉與退信 若突然增加，要懷疑系統遭入侵或被當成跳板
查看 DMARC 報告 是否有陌生伺服器冒用您的網域寄信

訂閱者名單可能外洩時（個人資料保護法）

訂閱者的電子郵件地址與姓名屬於個人資料保護法所保護的個人資料。

依目前施行的個人資料保護法第 12 條，公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或有其他侵害時，應查明後以適當方式通知當事人。

2025 年 11 月 11 日修正公布的個人資料保護法，將第 12 條改為：知悉個人資料被竊取、竄改、毀損、滅失或洩漏時，應通知當事人；符合一定通報範圍者，非公務機關應向主管機關通報；並應採取即時有效的應變措施、保存相關紀錄。不過，這次修正條文的施行日期由行政院另定，截至本文撰寫時，全國法規資料庫仍顯示尚未施行。實際適用的規定，請以最新公告為準。

若懷疑訂閱者資料已經外洩，建議儘早諮詢專業人士。

選擇不自行架設寄送系統

在自家伺服器上架設電子報寄送系統，像這次的漏洞修補也就成了自己的工作。使用雲端電子報服務，維持寄送基礎設施的更新則是服務提供者的責任。

Newsletter Ready 沒有使用 PHP，因此不受這次漏洞影響。不過，作為電子報素材來源的官網，安全仍由經營官網的公司負責。請一併確認官網的 PHP 版本。

資料來源

本文僅提供一般資訊，並非法律意見。