- 漏洞可讓處理網絡請求的PHP安裝在未經認證下遠程執行程式碼。
- CISA發布警報時尚未觀察到漏洞遭利用。
- CISA表示，CVE-2026-109618及CVE-2026-109619屬需立即修補的嚴重漏洞。
漏洞可讓未經認證的攻擊者遠程執行程式碼，並影響所有處理網絡請求的PHP安裝。CyberScoop報道，研究人員形容漏洞可讓攻擊者在伺服器上執行程式碼，並可能控制伺服器。Hackread報道，存取權可暴露網絡請求程序可取得的應用程式檔案及認證資料。
CISA發布警報時尚未觀察到漏洞遭利用，但表示若不修補，漏洞會構成風險。CyberScoop報道，在伺服器端語言已知的網站中，PHP運行於70–80%網站；CISA則表示，PHP可能是其他軟件的組件，未必能直接觀察到。
PHP mod_php部署風險最高
Hackread報道，PHP維護者認為Apache mod_php是風險最高的部署，因為攻擊在網站本身的程式碼開始運行前已經生效。利用漏洞不會自動取得整部伺服器的管理員權限，但可暴露網絡請求程序可取得的資源。
未有確認實際利用的報告
Huntress表示，未有在客戶實時系統觀察到或獨立確認在野外成功利用漏洞。
CyberScoop報道，漏洞在CVSS v4.0嚴重程度評分中取得9.2分，該評分最高為10分。報道亦指，Calif利用OpenAI以網絡安全為重點的人工智能模型GPT-5.6 Sol發現漏洞。
CISA列出下線及監察措施
CISA促請機構識別及清點運行任何PHP版本的系統，因為PHP可能是其他軟件的組件，其普及程度未必能直接觀察到。
Hackread報道，臨時控制措施包括停用工作階段上載進度，以及在PHP 8.5停用致命錯誤回溯，之後重新啟動每個PHP工作程序。PHP維護者警告，沒有適用於所有攻擊途徑的通用配置變更，仍必須完成修補。
CISA表示，防守方應監察PHP工作程序啟動命令殼層或下載工具的情況。CISA亦表示，網絡應用程式防火牆或可在系統更新或修補前提供部分保護。
OpenAI表示，前沿人工智能在攻擊者之前發現漏洞，讓維護者及安全供應商有時間在披露前準備修補程式及防護措施。CyberScoop報道，相關團體花了兩個月準備技術修補及公開披露。
防守方現在要做甚麼
- 更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。
- 如無法立即更新，或繼續使用PHP 8.1或更早不受支援版本，應將基於PHP的系統下線，直至完成修補或更新。
- 監察可疑活動，包括PHP工作程序啟動命令殼層或下載工具。
常見問題
甚麼是php2shell PHP漏洞？
漏洞為CVE-2026-109618及CVE-2026-109619，屬嚴重漏洞，可讓處理網絡請求的PHP安裝在未經認證下遠程執行程式碼。
哪些PHP版本受php2shell影響？
CISA表示，所有處理網絡請求的PHP安裝均受影響。Wired報道，受影響範圍可追溯至2004年7月發布的PHP5。
php2shell是否已遭利用？
CISA發布警報時尚未觀察到漏洞遭利用。Huntress則表示，未有在客戶實時系統獨立確認成功利用漏洞。
如何修復CVE-2026-109618及CVE-2026-109619？
更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。使用不受支援PHP 8.1或更早版本的機構，應在完成修補或更新前將基於PHP的系統下線。
這份PHP警報所指的遠程執行程式碼是甚麼？
CISA表示，漏洞可讓未經認證者遠程執行程式碼。CyberScoop報道，研究人員表示攻擊者可在伺服器上執行程式碼，並可能控制伺服器；Hackread則報道，存取權可暴露網絡請求程序可取得的應用程式檔案及認證資料。
來源
- Critical Vulnerabilities in PHP Require Immediate Patching, CISA原始文件
- ‘This Is Not a Drill’: Critical PHP Vulnerabilities Are Setting the Internet on Fire, Wired
- PHP releases emergency fixes for 2 critical vulnerabilities, CyberScoop
- PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities, Hackread
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| CISA表示，CVE-2026-109618及CVE-2026-109619屬需立即修補的嚴重漏洞。 | CISA | 已證實 |
| CISA表示，被稱為php2shell的漏洞可讓未經認證者遠程執行程式碼，並影響所有處理網絡請求的PHP安裝。 | CISA | 已證實 |
| CISA發布警報時尚未觀察到漏洞遭利用，但表示若不修補，漏洞會構成風險。 | CISA | 已證實 |
| CISA促請機構識別及清點運行任何PHP版本的系統，因為PHP可能是其他軟件的組件。 | CISA | 已證實 |
| CISA表示，網絡應用程式防火牆或可在系統更新或修補前提供部分保護。 | CISA | 已證實 |
| Wired報道，PHP於周三發布緊急保安更新，以修復可能讓攻擊者危險地遠程控制受害系統的嚴重漏洞。 | Wired | 引述 |
| Wired報道，漏洞影響處理網絡請求的PHP安裝，可追溯至2004年7月發布的第5版。 | Wired | 引述 |
| CyberScoop報道，兩個漏洞在CVSS v4.0嚴重程度評分中均取得9.2分。 | CyberScoop | 引述 |
| CyberScoop報道，研究人員形容漏洞屬遠程執行程式碼漏洞，可讓攻擊者執行程式碼，並可能控制伺服器。 | CyberScoop | 引述 |
| CyberScoop報道，Huntress未有在客戶實時系統觀察到或獨立確認在野外成功利用漏洞。 | Huntress, via CyberScoop | 引述 |
| CyberScoop報道，研究人員估計超過130萬個暴露於互聯網的主機可能存在漏洞。 | CyberScoop | 引述 |
| CyberScoop報道，在伺服器端語言已知的網站中，PHP運行於70–80%網站。 | CyberScoop | 引述 |
| CyberScoop報道，Calif利用OpenAI以網絡安全為重點的人工智能模型GPT-5.6 Sol發現漏洞。 | CyberScoop | 引述 |
| CyberScoop報道，OpenAI、PHP維護者、研究人員及安全供應商花了兩個月合作準備技術修補及披露。 | CyberScoop | 引述 |
| OpenAI表示，前沿人工智能在攻擊者之前發現漏洞，讓維護者及安全供應商能準備修補程式及防護措施。 | OpenAI, via CyberScoop | 引述 |
| Hackread報道，漏洞影響處理網絡請求的PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed安裝。 | Hackread | 引述 |
| Hackread報道，PHP維護者認為Apache mod_php是風險最高的部署，因為攻擊在網站程式碼開始運行前已經生效。 | Hackread | 引述 |
| Hackread報道，漏洞利用取得網絡請求程序的權限，可暴露應用程式檔案及認證資料，但不會自動取得整部伺服器的管理員權限。 | Hackread | 引述 |
| Hackread報道，臨時控制措施包括停用工作階段上載進度及致命錯誤回溯，之後重新啟動每個PHP工作程序。 | Hackread | 引述 |
| Hackread報道，PHP維護者警告，沒有通用配置變更可涵蓋所有攻擊途徑，仍必須完成修補。 | Hackread | 引述 |
| CISA於2026年10月21日發布報告。 | CISA | 已證實 |
未能核實
- 漏洞是否已在野外遭利用，尚未確定。
- 實際受影響的PHP系統數量，尚未確定。
- 兩個漏洞是否由同一項根本技術原因引起，尚未確定。
- 所報道的偵察活動是否會導致成功利用漏洞，尚未確定。
