PHP2Shell：兩個嚴重PHP漏洞引發全球網站關閉

PHP是驅動網路大部分伺服器端代碼的指令語言，在2026年10月遭遇兩個嚴重安全漏洞。這些漏洞統稱為「PHP2Shell」，追蹤代號為CVE-2026-109618和CVE-2026-109619，允許沒有帳戶或密碼的攻擊者在受影響的網路伺服器上執行任意代碼。

漏洞的作用

根據安全公司watchTowr的說法，CVE-2026-109618發生在PHP在設置傳入請求的過程中耗盡記憶體時，使內部請求數據僅部分初始化；PHP的清理例程隨後錯誤地將該無效數據視為有效。CVE-2026-109619涉及與一個請求相關的內部狀態在其指向的記憶體已被釋放後仍然存在，因此同一個工作進程處理的後續請求可以在正常初始化重置它之前使用該陳舊狀態。

檢查漏洞的研究公司Wiz告訴Help Net Security，這些問題多年未被發現，是該語言中發現的最嚴重的漏洞之一。watchTowr表示，除了完整的遠端代碼執行外，這些漏洞還可以使PHP工作進程崩潰、允許任意文件讀取或洩露伺服器記憶體。

誰發現的，何時發現

這兩個漏洞通過獨立的研究工作報告。watchTowr的公告將發現功績歸功於Calif的安全研究團隊，而Help Net Security的報導將識別和披露歸功於Wiz的研究人員。披露時間表異常：原本應保密的詳情於2026年10月20日公開洩露，watchTowr確認洩露的信息是真實的。PHP的維護者通過在原定2026年10月22日提前一天，於2026年10月21日UTC時間14:00發布補丁進行回應。

範圍：誰在運行易受攻擊的PHP

PHP仍然是網路上最廣泛使用的伺服器端語言之一，這些漏洞可能影響通過它處理傳入HTTP請求的任何設置。根據watchTowr的說法，受影響的設置包括PHP-FPM、Apache with mod_php、php-cgi、FrankenPHP和LiteSpeed，意味著漏洞位於伺服器層本身，而不是任何單一應用程式中。

由於PHP 7.4、8.0和8.1不再受官方支援，watchTowr表示對於仍在運行這些分支的網站，PHP核心項目沒有補丁，儘管Linux發行版或長期支援供應商的反向移植可能可作為臨時選項；否則這些安裝需要升級到受支援的分支。根據watchTowr的說法，PHP 7.3及更早版本完全沒有修復。PHP的公告指出，除了更新軟體外，沒有配置更改能完全關閉漏洞。

影響和利用

Help Net Security報導說，由Amazon運行的蜜罐網路於2026年10月17日檢測到利用企圖——比公開補丁早四天——暗示一些攻擊者提前獲得了利用詳情。watchTowr表示其自己的「Attacker Eye」蜜罐網路在2026年10月21日補丁發布後持續觀察到野生環境中的積極利用。基於PHP構建的內容管理系統，包括WordPress、Drupal和Joomla，以及基於Laravel的應用程式和電子商務平台，都在受影響的範圍內，因為它們運行在易受攻擊的PHP引擎之上。

根據PHP2Shell Wikipedia條目上的總結報導，隨著補丁的進行，政府機構、在線論壇、遊戲平台和一些與基礎設施相關的網站作為預防措施脫機，同時運營商應用修復。Help Net Security報導說，英國國家網絡安全中心敦促無法立即補丁的組織改為將易受攻擊的系統脫機。

嚴重性評級及網站運營商應採取的措施

根據watchTowr的公告，PHP自己的開發人員在CVSS v4.0規模上將兩個漏洞評定為9.2分（滿分10分），這是「嚴重」級別的分數。根據PHP的公告和watchTowr，明確的補救路徑是更新到PHP 8.5.12、8.4.27、8.3.36或8.2.35（取決於伺服器運行的分支）；運行7.4、8.0或8.1的網站應使用發行版反向移植或升級到受支援的分支，而7.3或更早版本的伺服器沒有可用的修復，需要升級。