2026年10月21日，PHP專案發布了緊急更新——版本8.5.12、8.4.27、8.3.36及8.2.35——以修復兩個安全漏洞，安全研究人員及供應商將其暱稱為「PHP2Shell」，根據Help Net Security及加拿大網路安全中心的報導。這些漏洞分別追蹤為CVE-2026-109618及CVE-2026-109619，均被描述為關鍵嚴重性問題；本文參考的來源未提及官方的CVSS評分。
該漏洞的作用
兩個漏洞都是PHP在處理異常條件下請求時的記憶體安全漏洞，Bleeping Computer及Help Net Security報導。CVE-2026-109618發生於當記憶體不足錯誤中斷PHP時，內部請求資料只是部分設定，因此後來的清理常式將該不完整資料視為有效。CVE-2026-109619是陳舊狀態漏洞：與一個請求相關的記憶體可被釋放，然後在同一工作程序上的後續請求在適當重置前重新使用，這可能洩露資料或允許程式碼執行。
加拿大網路安全中心將兩者都分類為釋放後使用漏洞（CWE-416），並表示成功的攻擊可讓未認證的攻擊者在伺服器上執行任意程式碼，無需密碼或任何使用者操作。該機構表示mod_php部署面臨最高風險，因為已展示的利用可在任何應用程式碼有機會執行前觸發該漏洞——根據Bleeping Computer報導，PHP安全團隊也使用了這種描述。
該漏洞影響每個提供網頁請求的PHP安裝，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP及LiteSpeed，根據Bleeping Computer及加拿大建議。底層程式碼在PHP中已存在十多年，Fortune報導，儘管官方修復僅針對主動支持的8.2–8.5分支發布，7.4至8.1的原始碼級回補已提供給已過期支持終止日期的分支。
其發現方式，以及AI在此的重要性
根據Fortune，該缺陷程式碼在PHP中已存在十多年，但三個獨立方面於2026年8月匯聚於此：安全公司Wiz、一家名為Calif的公司，以及OpenAI，與PHP Foundation合作進行修復及協調揭露。Fortune報導Wiz使用包括OpenAI的GPT-5.6 Sol及Google的Gemini 4 Argon的AI模型來協助理解該弱點並將其轉化為可工作的利用。Wiz告訴Fortune該案例代表了由AI驅動的轉變，表示儘管該易受攻擊程式碼已存在十多年，但改變的是研究人員使用AI理解弱點並將其轉化為可工作利用的能力。
Fortune也報導OpenAI在其自身聲明中表示該事件展示了AI如何能發現具有互聯網規模影響的安全漏洞，同時承認相同的AI能力也能幫助攻擊者更快速地開發進攻工具和利用程式。
利用嘗試及Cloudflare的早期回應
Cloudflare在其部落格上表示於2026年10月21日UTC 03:02啟動了Web應用程式防火牆規則，這約在漏洞公開揭露前九小時。該公司為免費層客戶推出七條「通用規則──異常執行」，以及針對付費方案的七條等效規則，加上一條額外規則，該規則在同一交易中檢查請求和回應，根據ppc.land總結的Cloudflare貼文。同一貼文表示Cloudflare觀察到攻擊者隨後修改其利用有效載荷，似乎試圖規避新規則，儘管其未發布確切的攻擊量數字。
另外，Amazon的威脅情報團隊表示其自2026年10月17日起檢測到針對該漏洞的利用嘗試——在公開修補前四天，根據Bleeping Computer報導，這表明一些威脅行為者在一般揭露前便取得了利用詳情。相比之下，加拿大網路安全中心建議聲明指出，在其撰寫時，其未發現主動利用，但警告情況可能迅速改變。兩項評估反映了不同的觀察點和時間安排，而非事實矛盾。
日本：政府敦促修補或關閉
該漏洞在日本引起了特別強烈的關注。日本國家網路安全辦公室，為2025年7月重組的NISC後繼機構，根據BigGo Finance對該機構聲明的報導，發布了建議，敦促營運商檢查其網站是否運行PHP並迅速採取行動。首相高市早苗在X上發文稱其為「今晚所有人回應的緊急要求」，並表示暫時暫停網站可以是有效減少風險的方式（如無法立即修補），BigGo Finance報導。
遵循該指導，數個日本線上服務於2026年10月21日夜間進入緊急維護，包括托兒所管理平台CoDMON、卡牌遊戲Shadowverse: Worlds Beyond、線上商店建置器BASE及主機提供商Sakura Internet，根據BigGo Finance報導。PHP的官方修補約於日本時間晚上10時40分發布，早於最初宣布的11時目標，同一報導表示。
另外，Internet Watch (Impress)報導日本通訊提供商Baltec在檢測到可能洩露個人資料的未授權存取後暫停了約23項服務——涵蓋雲端、預約、銷售點及支出管理工具。Baltec最初將該事件歸因於針對PHP漏洞的網路攻擊，但該公司同日發布了更正，表示實際原因是其自身服務中的漏洞，而非PHP缺陷，在其表示在檢查PHP相關安全措施時混淆了兩個問題後。Baltec將服務恢復目標設定為2026年10月26日，Internet Watch報導。
暴露規模
PHP驅動了全球約70%的網站，包括WordPress網站、Wikipedia、Microsoft.com及Archive.org，Fortune報導，引用約40%的所有網站執行WordPress，而WordPress本身依賴PHP。Fortune也引用了一次初始掃描識別了2260萬個暴露於互聯網的可能易受攻擊的PHP實例。
PHP2Shell一覽| 項目 | 詳情 |
|---|
| CVE識別符 | CVE-2026-109618及CVE-2026-109619 |
|---|
| 嚴重性 | 在所有已審查來源中被描述為關鍵；在這些來源中未發現官方的CVSS評分 |
|---|
| 漏洞類型 | 釋放後使用/記憶體損毀（CWE-416） |
|---|
| 修補版本 | PHP 8.5.12、8.4.27、8.3.36、8.2.35（7.4–8.1的回補） |
|---|
| 揭露/修補日期 | 2026年10月21日 |
|---|
| 首次回報的利用嘗試 | 2026年10月17日（根據Amazon威脅情報，Bleeping Computer引用） |
|---|
| 運行PHP的網路份額 | 約70%，根據Fortune |
|---|
仍未知的事項
根據可得的報導，沒有來源確認直接由PHP2Shell利用造成的成功的大規模洩露，相對於預防性關閉。總利用嘗試的數字根據來源和測量窗口而異：Cloudflare的CEO在Yahoo! News的日本報導中被引用為描述嘗試次數從揭露前的數千次上升至45分鐘內的數萬次，並在兩小時內達到數十萬次，總數在該報告時描述為達到數百萬；Cloudflare自身的部落格貼文未重複這些特定數字。讀者應將精確的攻擊量數字視為初步資料，並可能由追蹤這些資料的組織進行修訂。
