相信這幾天應該都有在社群或新聞媒體上看到 PHP2Shell 這個嚴重漏洞的分享，我們也有撰寫相關報導。雖然這嚴重性大家都能感覺的出來，但多數站長都不會特別去記主機跑的是哪一版 PHP，這篇就要介紹 OpenAI 稍早公開的免費開源的小工具「php2shell-checker」，輸入網址或在終端機跑一行指令，就能初步判斷 PHP 版本有沒有落在受影響的範圍，有在經營網站的人，這兩天最好抽空確認一下主機上的 PHP 版本。
如果你有用 AI 代理如：Codex，只要把指令丟給 Codex 安裝技能，就能直接叫 Codex 檢查了。沒有用的人也能自行透過終端機指令來檢查。
OpenAI php2shell-checker 介紹：免費開源，網址和終端機都能查
這次的兩個漏洞編號是 CVE-2026-109618 和 CVE-2026-109619，被稱作「php2shell」。
PHP 安全團隊給兩者的 CVSS v4.0 評分都是 9.2，影響所有對外提供網頁服務的 PHP 環境，包括 PHP-FPM、Apache 搭配 mod_php、php-cgi、FrankenPHP 和 LiteSpeed，其中 PHP 官方認為 mod_php 的風險最高。原本修補版預計 10 月 22 日推出，但由於漏洞相關資訊提前外流，PHP 基金會因此將公開與修補時程提前至 10 月 21 日。
情況不太樂觀的在，Cloudflare 已經觀察到早期攻擊出現，watchTowr 也回報有人針對這兩個漏洞發動攻擊嘗試。資安研究員 Silas Cutler 粗估，網路上可能有超過 130 萬台對外開放的主機面臨潛在漏洞風險。
If you are wondering whether your website is affected, we have packaged a Codex skill to help check. Point your Codex at this repo to guide you through it: https://t.co/XUEbOwXuQC
— OpenAI (@OpenAI) October 21, 2026
為了讓站長能快速知道自己的網戰士不是影響範圍，OpenAI 就推出這個 php2shell-checker 檢查工具，功能很單純，就是幫你確認「這個網站或這台主機跑的 PHP 版本，有沒有落在漏洞範圍內」，主要特色如下：
- 免費開源，採用 Apache 2.0 授權
- 只需要 Node.js，不用另外執行 npm install 安裝套件
- 網址模式：讀取網站回應標頭中的 Server 與 X-Powered-By，判斷網站對外公開的 PHP 版本
- 本機模式：直接執行 php -v，檢查電腦或伺服器上安裝的 PHP 版本
- 提供 phpcheck-url 和 phpcheck-server 兩個 Codex Skills，可以直接叫 AI 幫你查
- 不會發送任何漏洞利用請求：預設只送 HEAD 請求，遇到伺服器回 405 或 501 才改用 GET，也不讀取網頁內容、不跟隨轉址
- 支援 –json 輸出，並用不同的結束代碼區分結果，方便寫進自動化腳本
最後一點對網站管理員來說滿重要的。市面上有些「漏洞檢測」工具會真的對目標送出攻擊程式碼測試，這種做法除了可能弄垮網站，拿去測別人的網站還可能有法律問題。php2shell-checker 只看版本號，因此對網站來說就跟一般訪客開網頁差不多。
前往 php2shell-checker GitHub 頁面
php2shell-checker 提供 phpcheck-url 和 phpcheck-server 兩種檢查角度，前者是給「只知道網址」的人用，例如想幫客戶、朋友看一下網站狀況，或是用虛擬主機、沒有伺服器權限的站長。後者則是給能登入伺服器的管理員，從主機內部確認實際在跑的 PHP 是哪一版。
| 比較項目 | phpcheck-url | phpcheck-server |
|---|---|---|
| 適用對象 | 只有網站網址的使用者 | 有伺服器存取權限的管理員 |
| 檢查方式 | 讀取網站回應標頭 | 在主機上執行 php -v |
| PHP 版本判斷 | 網站「自己宣稱」的版本 | 實際安裝的版本，並核對是否與網站使用的 PHP-FPM／Apache 一致 |
| 發行商修補狀態 | 無法確認 | 會比對完整套件版本與發行商安全公告 |
| 需要伺服器權限 | 不需要 | 需要 |
| 結果可信度 | 參考用，標頭可能被隱藏或修改 | 較高，官方也建議以這種方式為準 |
使用方式有兩種，首先是 AI 代理，我以 Codex 為例。把下方指令直接丟改 Codex 來安裝技能
$skill-installer install both skills from https://github.com/openai/php2shell-checker
安裝完成後，想用網址檢查的話，就輸入：
$phpcheck-url check example.com
Codex 會自動執行檢查腳本並解讀結果。只輸入網域時，Skill 預設會用 https 連線，檢查完後會說明結果：
檢查完之後，結果會分成三種。 各自代表的意思如下：
| 結果 | 結束代碼 | 代表意義 |
|---|---|---|
| OK | 0 | PHP 版本是正式版，且高於該分支的受影響版本界線 |
| VULNERABLE | 1 | PHP 版本等於或低於受影響版本界線，可能受到漏洞影響 |
| UNKNOWN | 3 | 無法判斷，不代表已經修補 |
如果 Codex 是在能存取網站伺服器的環境中執行，例如你已經透過 SSH 連進主機，就可以改用 phpcheck-server：
$phpcheck-server check the PHP version serving my site
它會讀取 PHP 版本、核對網站實際使用的 PHP 是不是同一個，再比對受影響範圍與發行商的安全公告，最後回報版本、修補狀態，以及需不需要更新：
沒有用 AI 代理的人，則可以自己用 Node.js 來執行。
- 先到 GitHub 專案頁，按下綠色的「Code」按鈕選擇「Download ZIP」，下載後解壓縮
- 如果電腦還沒裝 Node.js，請到 Node.js 官網下載 LTS 版本安裝就可以
接著打開終端機（Windows 用 PowerShell 或命令提示字元，Mac 用「終端機」App），切換到剛剛解壓縮的資料夾。例如資料夾放在「下載」裡，Mac 可以這樣輸入：
cd ~/Downloads/php2shell-checker-main
進到資料夾後，想檢查某個網站，就輸入下面這行，把網址換成你的網站：
node phpcheck.js "https://example.com"
