PHP 爆出兩大嚴重安全漏洞「PHP2Shell」：CVSS 9.2，企業應立即檢查及修補 （供應商影響狀態持續更新中）
兩項 PHP 遠端程式碼執行漏洞（CVE-2026-109618 及 CVE-2026-109619）可能令攻擊者無需登入，即可入侵受影響系統。除了網站及應用程式，企業常用的網絡及安全設備亦可能受到波及。
2026 年 10 月 21 日，PHP 官方發佈緊急安全更新，修補兩項被統稱為 「PHP2Shell」 的嚴重安全漏洞，分別為 CVE-2026-109618 及 CVE-2026-109619，兩者的 CVSS v4.0 評分均高達 9.2（Critical）。
攻擊者一旦成功利用漏洞，便可能在毋須身份驗證的情況下，於受影響伺服器執行任意程式碼（Remote Code Execution，RCE），導致應用程式、系統及敏感資料面臨安全風險。
由於 PHP 廣泛應用於企業網站、網上平台及後端系統，部分第三方企業軟件及網絡設備亦內置 PHP 元件，因此即使企業沒有直接開發或管理 PHP 應用程式，仍有可能受到影響。
鑑於 PHP2Shell 事件涉及多個供應商產品及平台，相關影響範圍及修補狀態可能持續更新。為協助企業快速掌握最新發展，Amidas 已整合 PHP 官方及主要供應商發布的安全公告、產品影響評估及修補資訊，並將持續追蹤事件調查及修補進展，提供最新資訊與應對建議，協助企業及時評估風險並採取適當措施。
最新官方資料來源（持續更新）：
甚麼是 PHP2Shell？漏洞有多嚴重？
PHP2Shell 涉及 PHP 處理記憶體及系統狀態時出現的兩項安全缺陷：
CVE-2026-109618：記憶體耗盡處理漏洞PHP 在處理記憶體不足（Out-of-Memory，OOM）的情況時，可能錯誤地處理尚未完成初始化的資料，導致記憶體損壞，讓攻擊者有機會執行惡意程式碼。
CVE-2026-109619：記憶體釋放後使用漏洞PHP 在處理請求及錯誤時，部分系統狀態可能仍指向已釋放的記憶體。攻擊者可利用這種異常情況，觸發遠端程式碼執行。
值得注意的是，採用 Apache mod_php 的系統尤其需要提高警覺。PHP 官方已確認，攻擊者可在應用程式程式碼開始執行前觸發漏洞，意味著部分應用程式層面的安全控制未必能有效阻止攻擊。
其他使用 PHP-FPM、PHP-CGI 等方式處理網頁請求的系統，也應根據實際配置進行風險評估。
哪些 PHP 版本受到影響？
PHP 官方已針對受影響的 PHP 8.x 版本推出安全更新。企業應立即檢查現有部署，並升級至相應的修補版本。
PHP 版本 | 受影響版本 | 已修補版本 |
PHP 8.5 | 低於 8.5.12 | 8.5.12 |
PHP 8.4 | 低於 8.4.27 | 8.4.27 |
PHP 8.3 | 低於 8.3.36 | 8.3.36 |
PHP 8.2 | 低於 8.2.35 | 8.2.35 |
PHP 8.1 或更舊版本 | 已停止官方安全支援 | 升級至受支援版本，或取得供應商確認的安全修補 |
對於仍然使用 PHP 8.1 或更舊版本的企業，應盡快制定升級計劃。部分 Linux 發行商及長期支援（LTS）供應商可能透過 Backport 方式提供安全修補，因此不能單憑 PHP 主版本號判斷系統是否仍然存在漏洞，亦應核對已安裝套件的完整版本及相關供應商公告。
不只是網站：哪些企業產品可能受到 PHP2Shell 影響？
由於部分企業級網絡設備、安全產品及管理平台亦可能使用 PHP，企業需要將漏洞評估範圍延伸至第三方軟件及設備。
以下整理截至 2026 年 10 月 22 日 的供應商資訊。部分廠商仍在調查產品受影響情況，最新狀態應以官方安全公告為準。
供應商／產品 | 已知狀態及建議 |
Broadcom / Symantec / Carbon Black | Broadcom 正調查旗下多款產品的潛在影響，包括 Carbon Black App Control Server、Symantec Endpoint Protection Manager（SEPM）及 CloudSOC CASB 等。其中，Carbon Black App Control Server 已推出包含更新版 PHP 的 8.12.2 及 8.13.2 版本，建議升級至 8.13.2。企業應聯絡 Broadcom 技術支援取得更新，並持續留意其他產品的官方安全公告。 |
Cisco | 正調查旗下產品的潛在影響，包括 ISE、Catalyst Center、Catalyst SD-WAN Manager 及其他產品。企業應持續留意 Cisco PSIRT 公告。 |
Citrix NetScaler ADC / Gateway | 根據供應商資訊，PHP 管理介面受到影響。建議限制管理 GUI/API 的存取，只允許可信任的管理主機及網絡連接，並追蹤官方修補資訊。 |
Palo Alto Networks | 官方確認 PAN-OS 及 Panorama 受到影響，主要涉及管理介面。建議限制管理介面的存取來源，並留意後續修補版本。 |
Red Hat / OpenShift | 部分 RHEL、OpenShift Dev Spaces 及使用受影響 PHP 套件的容器映像可能受到影響。建議檢查官方公告、更新套件及重新部署相關容器。 |
其他 Linux 系統 | 影響取決於 PHP 套件版本及部署方式。應核對發行商安全公告及完整套件版本。 |
Sophos | 應以最新官方公告確認產品狀態及所需措施。 |
Fortinet、Trend Micro | 建議向原廠或技術支援查詢相關產品及版本的影響情況。 |
VMware / Broadcom / Symantec、Forcepoint、BeyondTrust、SailPoint | 部分產品仍有待確認，企業應透過官方安全公告或支援渠道核實。 |
重要提醒： 上述產品資訊不代表供應商旗下所有產品均存在漏洞。企業應根據實際使用的產品型號、軟件版本及系統配置，確認是否受到影響。
企業應立即採取的 5 項安全措施
面對 PHP2Shell 漏洞，Amidas 建議企業 IT 及網絡安全團隊盡快執行以下措施：
1. 全面盤點 PHP 系統及相關設備
檢查企業環境中所有使用 PHP 的網站、應用程式、API、虛擬機器、容器及第三方設備，確認其 PHP 版本、部署方式及潛在受影響範圍。
2. 優先保護對外系統及管理介面
優先評估可從互聯網存取的系統，以及防火牆、網絡設備和其他產品的管理介面。限制管理權限，只允許可信任的 IP 位址、管理主機或指定網絡存取。
3. 盡快安裝官方安全更新
按照 PHP 官方或相關產品供應商的指引，安裝已修補版本。更新前應進行兼容性測試、系統備份及制定還原計劃，以減低對業務運作的影響。
4. 更新後驗證系統及服務
完成更新後，重新啟動相關服務及工作程序（Workers），或重新建立和部署已更新的容器，並核實實際運行版本及應用程式功能是否正常。
5. 加強安全監察及異常活動排查
檢查網站、應用程式及端點日誌，留意異常程序終止、PHP 檔案被修改、可疑子程序或不尋常的對外網絡連線，以識別潛在入侵跡象。
如無法立即完成修補，應先採取適當的存取限制及隔離措施，以降低漏洞被利用的機會。 然而，臨時緩解措施無法提供全面保護，企業仍須盡快安裝正式安全更新。
對於內置 PHP 的第三方網絡設備及安全產品，應遵從原廠修補程序，切勿自行替換設備內部的 PHP 元件，以免影響產品運作及技術支援。
Amidas 提醒：及早識別風險，降低網絡攻擊威脅
PHP2Shell 再次提醒企業，網絡安全風險並不局限於對外網站，亦可能隱藏於日常運作的管理平台、企業應用程式及網絡設備之中。
當漏洞涉及多種系統及第三方產品時，企業更需要建立全面的 IT 資產可視性、漏洞管理及修補流程，才能及時識別安全風險，降低潛在的業務影響。
Amidas 作為企業值得信賴的網絡安全及 IT 解決方案顧問，致力協助企業提升安全防護能力。 如需協助評估受影響系統、檢查相關產品版本，或制定漏洞修補及風險緩解方案，歡迎聯絡 Amidas 專業團隊。
*本文根據截至 2026 年 10 月 22 日可取得的安全公告及技術資料整理。漏洞影響範圍及供應商修補狀態可能持續更新，請以相關官方公告為準。
