MHOST 客戶安全通知
PHP2Shell安全修補通知
PHP 官方於 公布兩項影響全球 PHP 網站的嚴重安全漏洞。在特定配置及請求條件下，可能讓未經身份驗證的攻擊者遠端執行程式碼。風險因配置而異，這不代表網站已遭入侵。
為何以往毋須強制升級？
我們採用的 CloudLinux HardenedPHP，會為多個舊版 PHP（包括 PHP 5.6）提供漏洞修補，讓舊網站毋須單為安全修補而轉用新主版本。
今次 PHP2Shell，CloudLinux 亦已公布涵蓋舊版本的修補套件。我們會優先核對及套用相應修補，盡量保留原有 PHP 版本；只有沒有合適修補或確有需要時，才安排版本升級。
舊客兼容修正，費用全免
舊客戶如因本次安全更新或必要升級而出現網站無法瀏覽、白畫面或錯誤，MHOST 會免費作出最少必要修改，協助網站在安全版本上恢復運作。
這是安全服務通知，並非收費升級或推銷。免費範圍限於本次安全更新造成的必要兼容修正，不包括全面重做網站或新增功能。
接下來會怎樣？
-
先核對，再套用修補
MHOST 會按實際主機、PHP 套件及修補紀錄核對，安排適用的安全更新，毋須客戶另行申請；並非所有網站都要轉用新版 PHP。
-
盡量保留原有環境
這是伺服器層面的安全處理，不只是更新單一網站。優先透過原有版本的修補減少兼容影響；如有必要升級，會跟進舊網站或外掛的兼容情況。
-
遇到問題，聯絡我們
請循既有聯絡渠道或聯絡我們，提供網站網址及錯誤情況，讓我們協助跟進。請勿在公開訊息貼上密碼。
技術補充：漏洞、修補版本與 WAF
漏洞編號為 CVE-2026-109618 及 CVE-2026-109619。所有處理網頁請求的 PHP 安裝都需要檢視，包括 PHP-FPM、Apache/mod_php、CGI、FrankenPHP 及 LiteSpeed；實際風險視配置而定。
官方已修補的受支援版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35，亦可採用其後已妥善修補的受支援版本，毋須一律轉用最新主版本。PHP 8.1 及更舊版本已停止一般官方更新，但仍有特別的最小源碼修補及供應商 LTS 修補方案。CloudLinux 已公布 alt-php 舊版本（包括 PHP 5.6）的本次漏洞修補；其套件可能保留較舊版本號，應以套件來源及修補紀錄核實，不可單憑版本號判斷。供應商已發布修補，不代表每部主機都已安裝。
Cloudflare 已公布 WAF 防護措施，可作額外防線，但不能取代 PHP 執行環境的升級或修補，臨時緩解措施亦有局限。