- CISA於2026年10月26日將CVE-2026-109618及CVE-2026-109619加入其KEV目錄。
- php2shell漏洞可讓攻擊者在PHP中未經驗證執行遠程程式碼。
- 受影響的PHP安裝包括搭配mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。
CISA.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching)於2026年10月26日將兩個PHP漏洞加入其已知遭利用漏洞目錄。該機構確認CVE-2026-109618為記憶體損壞漏洞，CVE-2026-109619則為過時的內部請求狀態漏洞。
The Record報道，CISA確認兩個PHP漏洞正被針對，數十家網絡安全及科技公司報告有數千次利用漏洞發動攻擊的嘗試失敗。PHP用於建立及運行網絡應用程式以及絕大多數網站，該刊物引用的部分估算顯示，互聯網超過70%的網站使用PHP。
PHP網絡請求令安裝暴露於php2shell
CISA形容CVE-2026-109618為PHP記憶體損壞漏洞，CVE-2026-109619為PHP過時的內部請求狀態漏洞。CISA表示，php2shell漏洞可讓攻擊者在PHP中未經驗證執行遠程程式碼。
受影響的部署類型涵蓋處理網絡請求的PHP安裝。CISA特別列出搭配mod_php的Apache，並表示PHP認為這是風險最高的配置，以及PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。
CISA列出PHP更新及監察措施
CISA表示，機構應「立即更新」PHP至8.5.12、8.4.27、8.3.36或8.2.35。該機構亦要求防守人員找出並盤點其機構內運行任何PHP版本的系統。
對於無法更新的系統，或仍使用不受支援的PHP 8.1或更早版本的系統，CISA表示機構應將基於PHP的系統下線，直至能夠修補或更新。等待更新期間，網絡應用程式防火牆或可提供部分保障。
CISA亦要求防守人員監察PHP工作進程啟動命令殼層或下載工具的情況。The Record報道，Sophos及Palo Alto Networks曾發布其成功利用漏洞的聲稱，其後撤回；多名專家則在2026年10月25日前找到利用漏洞的方法。
CISA表示，聯邦民事機構必須優先迅速修補在公開網絡暴露、遭利用後可取得完全控制權的KEV漏洞。該機構亦表示，這類漏洞是惡意網絡行動者經常採用的攻擊途徑，並對聯邦企業構成重大風險。
The Record報道，CISA拒絕回答有關利用性質或潛在受害者的問題。Censys報告稱，自10月21日起，4,200萬個面向互聯網的PHP服務中，超過1,000萬個已完成修補。
防守方現在要做甚麼
- 將PHP更新至8.5.12、8.4.27、8.3.36或8.2.35版本。
- 監察可疑活動，包括PHP工作進程啟動命令殼層或下載工具。
- 如無法立即更新，或繼續使用不受支援的PHP 8.1或更早版本，應將基於PHP的系統下線。
常見問題
2026年10月26日PHP發生甚麼事？
CISA將CVE-2026-109618及CVE-2026-109619加入其已知遭利用漏洞目錄。
php2shell PHP漏洞可以做甚麼？
CISA表示，漏洞可讓攻擊者在PHP中未經驗證執行遠程程式碼。
哪些PHP安裝受影響？
受影響的安裝處理網絡請求，包括搭配mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。
哪些PHP版本修復CVE-2026-109618及CVE-2026-109619？
CISA要求機構更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。
使用不受支援PHP的機構應怎樣做？
CISA表示，使用PHP 8.1或更早版本，或無法更新的機構，應將基於PHP的系統下線，直至能夠修補或更新。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| CISA表示，將CVE-2026-109618及CVE-2026-109619加入KEV目錄後，於2026年10月26日更新其PHP警報。 | CISA | 已證實 |
| CISA表示，稱為php2shell的漏洞可讓攻擊者在PHP中未經驗證執行遠程程式碼。 | CISA | 已證實 |
| CISA表示，漏洞影響處理網絡請求的PHP安裝，包括搭配mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。 | CISA | 已證實 |
| CISA要求機構找出並盤點運行任何PHP版本的系統。 | CISA | 已證實 |
| The Record報道，CISA確認兩個PHP漏洞正受到攻擊。 | The Record | 引述 |
| CISA將對漏洞的嘗試利用及成功利用均視為主動利用。 | CISA, via The Record | 引述 |
| CISA表示於2026年10月26日將CVE-2026-109618及CVE-2026-109619加入KEV目錄。 | CISA | 已證實 |
| CISA確認CVE-2026-109618為PHP記憶體損壞漏洞。 | CISA | 已證實 |
| CISA確認CVE-2026-109619為PHP過時的內部請求狀態漏洞。 | CISA | 已證實 |
| CISA表示，這些漏洞類型是惡意網絡行動者經常採用的攻擊途徑，並對聯邦企業構成重大風險。 | CISA | 已證實 |
| CISA表示，聯邦民事機構必須優先迅速修補在公開網絡暴露、遭利用後可取得完全控制權的KEV漏洞。 | CISA | 已證實 |
| The Record報道，Sophos及Palo Alto Networks曾發布及撤回成功利用漏洞的聲稱。 | The Record | 引述 |
| The Record報道，多名專家在2026年10月25日星期日前找到利用漏洞的方法。 | The Record | 引述 |
| The Record報道，有數千次利用漏洞發動攻擊的嘗試失敗。 | The Record | 引述 |
| The Record報道，CISA拒絕回答有關利用性質或潛在受害者的問題。 | The Record | 引述 |
| The Record報道，PHP用於建立及運行網絡應用程式，並獲絕大部分網站使用。 | The Record | 引述 |
| The Record報道，部分估算顯示，互聯網超過70%的網站使用PHP。 | The Record | 引述 |
| Censys報告稱，自10月21日起，4,200萬個面向互聯網的PHP服務中，超過1,000萬個已完成修補。 | Censys, via The Record | 引述 |
| CISA表示，系統更新或修補前，網絡應用程式防火牆或可提供部分保障。 | CISA | 已證實 |
| CISA於2026年10月26日發布報告。 | CISA | 已證實 |
| CISA於2026年10月26日發布報告。 | CISA | 已證實 |
未能核實
- 有多少機構或系統受影響，尚未確定。
- 任何報告的利用嘗試是否令受害者受損，尚未確定。
- 兩個漏洞是否有CVSS評分，尚未確定。
