- PHP2Shell涵蓋CVE-2026-109618及CVE-2026-109619兩項嚴重遠程程式碼執行漏洞。
- PHP根據CVSS v4.0將兩項漏洞評為9.2分，但網上流出的資訊聲稱CVSS評分為10.0分，該評分並非PHP所評定。
- 受影響的PHP版本會處理網絡請求，包括透過PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed處理。
PHP於2026年10月21日發布緊急更新，修復兩項被追蹤為PHP2Shell的嚴重遠程程式碼執行漏洞：CVE-2026-109618及CVE-2026-109619。PHP根據CVSSv4.0將每項漏洞評為9.2分。
受影響系統包括處理網絡請求的PHP安裝，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed。PHP表示，沒有帳戶的攻擊者可在網絡伺服器執行程式碼；SecurityWeek則表示，漏洞亦可能暴露載有登入憑證、API金鑰及其他秘密的程序記憶體。
PHP是面向網絡開發的通用腳本語言。SecurityWeek表示，Apache配合mod_php時，兩項漏洞均已確認可遠程執行程式碼；漏洞影響幾乎所有PHP版本，追溯至PHP 5.4。
PHP2Shell包括OOM損壞及過時全局狀態
SecurityWeek將CVE-2026-109618識別為記憶體不足損壞，將CVE-2026-109619識別為過時全局狀態。PHP形容兩者為記憶體安全漏洞。
watchTowr表示，成功利用漏洞不需要帳戶或先前存取權，因為「只要透過網絡連接伺服器便足夠；不需要帳戶或先前存取權。」
更新後PHP工作程序必須重新啟動
PHP的公告表示，更新至包含修補程式的版本，是修復記憶體不足漏洞的唯一完整緩解措施。至於過時全局狀態漏洞，PHP表示更新是唯一可靠的緩解措施。
watchTowr表示，管理員安裝更新後應重新啟動每個PHP工作程序，讓修復措施在整個環境生效。
The Hacker News表示，漏洞由Wiz Research、Calif及OpenAI的Codex Security團隊發現。
PHP表示，修補程式已納入PHP 8.5.12、8.4.27、8.3.36及8.2.35。PHP保安團隊曾於2026年10月20日公布計劃發布版本，但沒有列出CVE識別碼。
防守方現在要做甚麼
- 請勿使用RLIMIT_AS或RLIMIT_DATA，因為一旦達到記憶體上限，這會令mmap()失敗，觸發有漏洞的longjmp()路徑。
常見問題
甚麼是PHP2Shell漏洞？
PHP表示，PHP2Shell涵蓋CVE-2026-109618及CVE-2026-109619，是PHP內兩項嚴重遠程程式碼執行漏洞。
哪些PHP版本受PHP2Shell影響？
SecurityWeek表示，漏洞影響幾乎所有PHP版本，追溯至PHP 5.4；PHP表示，處理網絡請求的安裝均面臨風險。
PHP2Shell攻擊者可否在沒有帳戶的情況下執行程式碼？
PHP表示，漏洞可讓沒有帳戶的攻擊者在網絡伺服器執行程式碼。watchTowr表示，只要透過網絡連接伺服器便足夠，不需要先前存取權。
為何Apache mod_php上的PHP2Shell風險最高？
PHP表示，使用Apache配合mod_php的網站風險最高。SecurityWeek表示，Apache配合mod_php時，兩項漏洞均已確認可遠程執行程式碼。
甚麼是CVE-2026-109618？
SecurityWeek將CVE-2026-109618識別為記憶體不足損壞漏洞。
來源
- RCE via OOM corruption, GitHub原始文件
- RCE via stale global state, GitHub原始文件
- CVE-2026-109619: PHP Remote Code Execution Exploited, watchTowr原始文件
- PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge, The Hacker News
- PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors, SecurityWeek
- PHP ships emergency patches for critical PHP2Shell flaws, BleepingComputer
- PHP2Shell: The Emergency PHP Patch Is Out, and the Real Race Starts Now, Techaeris
- PHP rushes out emergency patches for two critical bugs AI found first, The Next Web
- Critical security flaw puts most websites at risk as NSA issues warning, Milwaukee Journal Sentinel
- PHP, Wikipedia
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| PHP發布緊急更新，修復兩項可讓未經身分認證的攻擊者在網絡伺服器執行程式碼的嚴重漏洞。 | PHP, via The Hacker News | 引述 |
| 修補程式已納入PHP 8.5.12、8.4.27、8.3.36及8.2.35。 | PHP, via The Hacker News | 引述 |
| 漏洞影響處理網絡請求的PHP安裝，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed。 | PHP, via The Hacker News | 引述 |
| SecurityWeek報道，Apache配合mod_php時，兩項漏洞均已確認可遠程執行程式碼。 | SecurityWeek | 引述 |
| SecurityWeek表示，PHP2Shell漏洞影響幾乎所有PHP版本，追溯至PHP 5.4。 | SecurityWeek | 引述 |
| SecurityWeek表示，漏洞亦可讀取載有登入憑證、API金鑰及其他秘密的敏感程序記憶體。 | SecurityWeek | 引述 |
| PHP發布緊急修補程式，修復兩項統稱為PHP2Shell的嚴重遠程程式碼執行漏洞。 | PHP, via BleepingComputer | 引述 |
| PHP表示更新是唯一安全選擇，而Apache mod_php的風險最高。 | PHP, via The Next Web | 引述 |
| watchTowr表示，成功利用漏洞不需要帳戶或先前存取權，因為只要透過網絡連接伺服器便足夠。 | watchTowr | 引述 |
| PHP的OOM公告表示，更新至包含修補程式的版本是唯一完整緩解措施。 | PHP, via GitHub | 已證實 |
| PHP的過時全局狀態公告表示，更新是唯一可靠的緩解措施。 | PHP, via GitHub | 已證實 |
| watchTowr表示，管理員安裝更新後應重新啟動每個PHP工作程序。 | watchTowr | 引述 |
| PHP是面向網絡開發的通用腳本語言。 | Wikipedia | 已證實 |
| Milwaukee Journal Sentinel表示，漏洞可能讓攻擊者控制或干擾網站，以及存取用戶敏感資料。 | Milwaukee Journal Sentinel | 引述 |
| 流出資訊聲稱漏洞的CVSS評分為10.0分，並非PHP所評定；PHP將兩項漏洞評為9.2分。 | PHP, via The Hacker News | 引述 |
| SecurityWeek將CVE-2026-109618識別為OOM損壞，將CVE-2026-109619識別為過時全局狀態；兩者CVSS評分均為9.2分。 | SecurityWeek | 引述 |
| PHP的公告根據CVSS v4.0將每項漏洞評為9.2分，而watchTowr行政總裁及部分早期報道則稱評分為CVSS 10.0分。 | PHP, via Techaeris | 引述 |
| Techaeris表示，pHP2Shell涵蓋CVE-2026-109618及CVE-2026-109619，兩者均為評為CVSS v4.0 9.2分的遠程程式碼執行漏洞。 | Techaeris | 引述 |
| 已修補的PHP版本修復兩項被追蹤為CVE-2026-109618及CVE-2026-109619的記憶體安全漏洞，每項在CVSS v4評分均為9.2分。 | PHP, via The Next Web | 引述 |
| PHP公布於2026年10月21日14:00 UTC發布保安版本，涵蓋兩項嚴重漏洞，每項根據CVSS v4.0評為9.2分。 | PHP | 引述 |
| watchtowr.com於2026年10月21日發布報告。 | watchtowr.com | 已證實 |
未能核實
- 未能確定特定伺服器是否已成功遭入侵。
- 未能確定受影響的安裝數量。
- 未能確定報道的利用嘗試是否導致程式碼執行。
- 未能確定兩項漏洞是否由同一批攻擊者利用。
