PHP2Shell：兩個重大PHP漏洞導致多國政府網站離線

PHP2Shell是兩個PHP程式語言本身漏洞的別稱，而不是任何單一網站或應用程式中的漏洞。它們被追蹤為CVE-2026-109618和CVE-2026-109619，根據PHP專案的官方2026存檔頁面，PHP自己的安全團隊將兩者都評為CVSS v4.0量表上的9.2分（滿分10分），其「重大」級別。

這兩個漏洞的具體作用

根據PHP專案自己的公告，CVE-2026-109618在PHP處理網頁請求時記憶體不足時被觸發。記憶體不足錯誤可能在內部請求數據完全設定之前中斷PHP，隨後的清理過程可能會將這些不完整的數據視為有效，這可能導致記憶體損壞和遠端代碼執行。

CVE-2026-109619被PHP描述為「陳舊的全局狀態」漏洞：與一個訪客請求相關的數據可能在應該被清除後仍然保留在伺服器的記憶體中，由同一工作程序處理的下一個訪客的請求可能最終會對這些遺留數據進行操作。運營全球監控系統網絡的安全公司watchTowr表示，兩個漏洞都允許攻擊者在無需登入的情況下運行代碼，甚至在網站自己的代碼開始執行之前。

荷蘭安全公司Sansec添加了進一步的技術細節，表示利用的路徑之一通過PHP的會話「上傳進度」功能，可能會暴露密碼、API密鑰和加密密鑰等數據，這些數據碰巧位於伺服器的記憶體中，來自其他無關的請求。

為什麼這麼多網站被暴露

漏洞位於PHP引擎內部，因此任何用PHP建立的網站或應用程式都可能被暴露，無論其上運行的內容系統是什麼。根據Sansec的說法，這包括廣泛使用的平台，如WordPress、Drupal、Joomla、Magento和Nextcloud。PHP仍然是網路上最廣泛使用的伺服器端程式語言之一，這是這些漏洞被視為構成廣泛、大規模風險的原因之一。

Wiz的安全研究人員發現了這些漏洞，Help Net Security報導說研究人員表示前沿AI工具的進步大大降低了將一個長期已知、難以利用的記憶體處理問題轉變為可行利用的技術門檻。

政府為什麼讓網站離線

漏洞的技術細節在PHP官方補丁準備好之前洩露，打斷了防守者在修復公開前通常獲得的先發優勢。安全部落格Safeguard報導，在2026年10月21日，荷蘭作為預防措施關閉了多項服務，包括其國家網絡安全中心自己的網站Overheid.nl、眾議院網站以及多個醫院和政黨網站。芬蘭國有IT供應商Valtori採取預防措施讓政府網絡服務離線，丹麥市政IT公司Kombit關閉了多項服務，包括國家學校通訊平台。法國內政部臨時關閉了地方行政區和地方行政網站，稱其正在等待PHP修復的應用。德國聯邦IT提供商ITZBund和比利時外交部也讓網站離線，但Safeguard報導稱他們給出了不同的原因：ITZBund表示不知道任何安全事件，而比利時外交部援引了攻擊報導。

watchTowr表示其蜜罐網絡Attacker Eye從2026年10月21日開始記錄真實世界的利用嘗試，漏洞洩露後一天，也是PHP發佈修復程序的同一天。

兩個漏洞的比較

如何保護您的網站和數據

1. 如果您在PHP上運行網站：更新到修復版本——PHP 8.5.12、8.4.27、8.3.36或8.2.35——並在之後重新啟動所有PHP工作程序，因為PHP的公告和runZero都強調更新是唯一的完整修復。
2. 如果您仍在使用PHP 7.4、8.0或8.1（不再獲得官方更新），請從您的Linux發行版或託管服務提供商獲取反向移植的安全補丁，因為根據PHP存檔頁面，PHP自己的專案已停止維護這些分支。
3. 在您能夠修補之前，runZero建議在伺服器或代理級別採取臨時措施：限制記憶體限制以便應用程式無法覆蓋它們，強制執行低請求大小和多部分上傳限制，並禁用會話「上傳進度」功能。
4. 檢查您的網絡伺服器存取日誌以查找異常的multipart/form-data POST請求，Sansec表示這在已知的利用嘗試中很常見，並注意意外的PHP記憶體尖峰或致命錯誤。
5. 作為普通網際網路用戶，您無法修補您不控制的伺服器，但您可以留意您使用的服務的漏洞通知，為每個帳戶使用唯一密碼，並開啟雙因素身份驗證，這樣洩露的密碼本身不足以存取您的帳戶。

仍不明確的地方

根據所審查的報導，專家對在多個政府決定讓網站離線時主動利用已經有多廣泛的程度存在分歧；Safeguard報導稱荷蘭政府表示在採取行動時沒有發現主動利用的跡象，而watchTowr分別確認了第二天對其蜜罐的真實攻擊嘗試。