［台灣新聞雲］編輯整理
PHP官方緊急釋出安全更新，修復兩項嚴重程度達CVSS 9.2的關鍵漏洞（CVE-2026-109618與CVE-2026-109619），被安全研究社群統稱為「PHP2Shell」。這兩項漏洞允許未授權攻擊者在執行網頁請求的PHP伺服器上執行遠端程式碼（RCE），影響範圍涵蓋從2004年的PHP 5起的幾乎所有版本，被形容為「這不是演習」（This is not a drill）。
PHP是全球最廣泛使用的伺服器端腳本語言之一，支撐包括WordPress（約占所有網站40%）、Drupal、Magento、Joomla、Laravel等大量網站與應用。安全研究估計，可能有超過130萬台連網主機受影響，甚至有分析指出更高數字。漏洞存在於PHP核心的記憶體管理與錯誤處理機制，在Apache mod_php環境下，攻擊甚至可能在應用程式程式碼執行前就被觸發。
漏洞細節與影響
- CVE-2026-109618：透過記憶體不足（OOM）處理導致的記憶體損壞。請求在特定時刻觸及記憶體限制時，PHP可能留下部分初始化的內部資料，後續清理過程誤將無效資料視為有效，進而達成RCE。在預設設定下已在mod_php環境驗證成功。
- CVE-2026-109619：透過「陳舊狀態」（stale state）。致命錯誤可能讓前一個請求的內部狀態在記憶體釋放後仍殘留，後續由同一worker處理的請求可能使用已釋放的記憶體，造成use-after-free並可能導致RCE。
官方已釋出修補版本：PHP 8.5.12、8.4.27、8.3.36與8.2.35。PHP 8.1及更早版本已達官方支援終點，PHP專案不提供完整二進位修補，但已公開7.4、8.0與8.1的最小原始碼回溯修補供自行編譯。Linux發行版與長期支援（LTS）廠商通常會提前取得修補並釋出套件。
漏洞細節在10月20日提前外洩，促使PHP專案提前預告並將釋出時間提前至10月21日約14:00 UTC。Cloudflare等單位在修補釋出前已觀察到早期攻擊跡象，安全公司Sansec等警告「修補釋出後15分鐘內可能出現大規模攻擊」。芬蘭政府部分網站、法國政府網站與鹿特丹港等已預防性下線，荷蘭國家網路安全中心也曾採取類似措施。
PHP Foundation指出「沒有完整緩解措施，立即更新是唯一安全選擇」。他們同時說明，這類核心問題修復需在相容性、效能與第三方擴充套件間取得平衡，並呼籲依賴PHP的企業、主機商與政府增加對安全工作的資助。
建議行動
所有運行網頁服務的PHP管理員應立即：
- 確認PHP版本並升級至受支援的修補版本，升級後重啟PHP-FPM、Apache或其他相關服務。
- 優先處理面向網際網路的系統。
- 若暫時無法更新，參考官方建議的臨時緩解（如調整memory_limit、post_max_size、停用特定上傳進度功能等），但這些並非完整防護。
- 監控異常活動並保留日誌。
這起事件凸顯了PHP作為網際網路基礎設施的雙面性：它長期支撐全球大量網站，但也讓單一核心漏洞可能產生廣泛影響。隨著攻擊工具與細節公開，未來數小時至數天將是關鍵窗口。
（本新聞時間點以10月21日為準，此事件持續發展中，建議持續關注官方更新。）
探索更多來自 台灣新聞雲-關心台灣大小事 的內容
訂閱即可透過電子郵件收到最新文章。