- PHP發布兩個嚴重漏洞的緊急更新。
- Cloudflare報告有人嘗試利用漏洞，而CISA發布警報時尚未觀察到成功利用。
- 已修補的PHP版本為8.5.12、8.4.27、8.3.36及8.2.35。
PHP發布兩個嚴重漏洞的緊急更新，在特定條件下可讓未經身份驗證的攻擊者在PHP伺服器上執行程式碼。
漏洞影響所有提供網絡請求服務的PHP安裝，包括搭配mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。Cloudflare報告發現有人嘗試利用漏洞，而CISA表示，發布公告時未觀察到成功利用。
根據W3Techs資料，截至2026年10月，在伺服器端程式語言已知的網站中，69.3%使用PHP。PHP基金會表示，外洩的CVE資料列出錯誤的CVSS評分10.0，實際評分為9.2。
CERT-EU指漏洞涉及記憶體損壞及過時全域狀態
CERT-EU表示，其中一個漏洞源於處理記憶體不足時出現記憶體損壞，另一個則源於過時的全域狀態。
Censys表示，PHP項目確認在不同伺服器配置上，兩個漏洞各有可行攻擊。Palo Alto Networks旗下Unit 42表示，其研究人員已觀察到針對兩個漏洞的概念驗證漏洞利用程式碼。
PHP緊急更新前，受影響主機達數百萬部
Censys周三識別出6,292,667部主機及115,000,393個網絡資產，符合其PHP暴露查詢結果。VirusTotal識別出510萬個運行PHP的IP地址，包括758,000個運行已停止支援版本，以及85,000個運行修補前最新版本。
PHP基金會表示，外部人工智能公司進行的審查最早於8月令外界嚴正關注這些漏洞。基金會表示，其中一個漏洞的歷史可追溯至2024年，當年PHP數年來首次接受外部保安審計。
CVE編號流傳之際，PHP基金會提前發布更新
PHP基金會表示，兩個CVE識別碼於10月20日約15:00UTC開始在網上論壇及社交媒體流傳。基金會亦將發布時間由10月22日14:00UTC提前至10月21日14:00UTC。
The Record表示，企業及政府因應兩個漏洞，將數百個網站下線。Palo Alto Networks亦報告，至少一個歐洲政府為防萬一將其網站下線。
CISA表示，無法即時更新，或仍使用不受支援的PHP 8.1或更早版本的機構，應將以PHP為基礎的系統下線，直至可以修補或更新。
CISA亦表示，網絡應用程式防火牆在系統更新或修補前或可提供部分保護，並促請防守人員監察PHP工作進程啟動殼層或下載工具的情況。
防守方現在要做甚麼
- 立即更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35。
- 如無法即時更新，或使用PHP 8.1或更早版本，應將以PHP為基礎的系統下線，直至可以修補或更新。
- 監察可疑活動，包括PHP工作進程啟動殼層或下載工具。
常見問題
PHP發生甚麼事？
PHP發布兩個嚴重漏洞的緊急更新，在特定條件下可讓未經身份驗證的攻擊者在PHP伺服器上執行程式碼。
PHP漏洞曾遭利用嗎？
Cloudflare報告有人嘗試利用漏洞。CISA表示，發布警報時未觀察到成功利用。
哪些PHP用戶受漏洞影響？
所有提供網絡請求服務的PHP安裝均受影響，包括搭配mod_php的Apache、PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。
兩個PHP漏洞由甚麼造成？
CERT-EU表示，其中一個源於處理記憶體不足時出現記憶體損壞，另一個則源於過時的全域狀態。
來源
- Today, PHP Foundation原始文件
- Critical Vulnerabilities in PHP Require Immediate Patching | CISA, CISA原始文件
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 with VirusTotal, VirusTotal原始文件
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024, The Record
- PHP rushes out emergency patches for two critical bugs AI found first, The Next Web
- Two Critical PHP Bugs Put 70% of the Web at Risk, NSA Urges Immediate Patch, Hoodline
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| PHP基金會表示，外部人工智能公司進行的審查最早於8月令外界嚴正關注兩個漏洞。 | PHP Foundation, via The Record | 引述 |
| PHP基金會表示，CVE-2026-109618的歷史可追溯至2024年，當年PHP數年來首次接受外部保安審計。 | PHP Foundation, via The Record | 引述 |
| The Record表示，企業及政府周三因CVE-2026-109618及CVE-2026-109619將數百個網站下線。 | The Record | 引述 |
| VirusTotal識別出510萬個運行PHP的IP地址，包括758,000個運行已停止支援版本，以及85,000個運行修補前最新版本。 | VirusTotal, via The Record | 引述 |
| PHP發布8.5.12、8.4.27、8.3.36及8.2.35版本的緊急更新。 | PHP, via The Next Web | 引述 |
| 在特定條件下，漏洞可讓未經身份驗證的攻擊者在PHP伺服器上執行程式碼。 | PHP Foundation | 已證實 |
| CISA表示，發布警報時未觀察到現實環境中成功利用。 | CISA | 已證實 |
| CISA表示，漏洞影響所有提供網絡請求服務的PHP安裝，包括PHP-FPM、php-cgi、FrankenPHP及LiteSpeed。 | CISA | 已證實 |
| CISA表示，網絡應用程式防火牆在系統更新或修補前或可提供部分保護。 | CISA | 已證實 |
| PHP基金會表示，兩個CVE識別碼於10月20日約15:00UTC開始在論壇及社交媒體流傳。 | PHP Foundation | 已證實 |
| PHP基金會表示，外洩的CVE資料包括錯誤的CVSS10.0分，而實際評分為9.2分。 | PHP Foundation | 已證實 |
| CERT-EU表示，CVE-2026-109618源於處理記憶體不足時出現記憶體損壞，而CVE-2026-109619則源於過時的全域狀態。 | CERT-EU, via Hoodline | 引述 |
| 據Censys表示，PHP項目確認在不同伺服器配置上，兩個漏洞各有可行攻擊。 | Censys, via Hoodline | 引述 |
| Censys周三識別出6,292,667部主機及115,000,393個網絡資產，符合其PHP暴露查詢結果。 | Censys, via Hoodline | 引述 |
| Palo Alto Networks旗下Unit 42表示，Unit 42研究人員觀察到針對兩個漏洞的概念驗證漏洞利用程式碼。 | Palo Alto Networks Unit 42, via Hoodline | 引述 |
| 據Palo Alto Networks威脅簡報，至少一個歐洲政府為防萬一將其網站下線。 | Palo Alto Networks, via Hoodline | 引述 |
| 據NBC News報道，CISA發布公告時尚未觀察到有人利用這些漏洞。 | NBC News, via Hoodline | 引述 |
| W3Techs報告指，截至2026年10月，在伺服器端程式語言已知的網站中，69.3%使用PHP。 | W3Techs, via Hoodline | 引述 |
| CISA於2026年10月23日發布報告。 | CISA | 已證實 |
未能核實
- 報告所指的利用嘗試是否成功執行程式碼，尚未確定
- 實際有多少系統存在漏洞或遭入侵，尚未確定
- 所有報告的暴露程度測量是否採用可比較的方法，尚未確定
