開發者工具 · 2026-10-22
修補關鍵的 PHP 執行階段漏洞，並追查遭利用的跡象
重點結論
PHP 於 2026 年 10 月 21 日發布緊急安全更新，修復兩個在特定條件下可讓未經驗證的遠端使用者執行程式碼的核心執行階段重大漏洞。這兩個漏洞分別為 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 評分皆為 9.2。據 Wiz Research 指出，PHP 為全球約 70% 的網站提供動力，因此盤點、修補及受入侵檢查都是當務之急。
一句話總結：值得關注的工具：PHP 執行階段版本盤點工具、容器映像漏洞掃描器、外曝主機探索工具、相依元件鎖定檔稽核工具、事件記錄搜尋工具。
來源報導了什麼
PHP 緊急版本修復兩個重大執行階段漏洞
PHP 核心團隊於 2026 年 10 月 21 日發布帶外安全版本，修復 CVE-2026-109618 和 CVE-2026-109619。這兩個漏洞都會影響該語言的執行階段本身，在特定條件下，未經身分驗證的攻擊者可能藉此在執行易受攻擊 PHP 的伺服器上執行程式。每個漏洞的 CVSS v4.0 評分皆為 9.2。
這改變了開發人員與維運人員的立即工作流程：問題並不只限於單一應用程式框架或擴充功能。團隊必須找出正式環境、預備環境、容器、應用裝置及嵌入式系統所使用的 PHP 版本，繼而將其升級至已修復的版本，不必等待一般發布週期。由於這是緊急發布，修補應視為事件回應任務，而非例行相依性維護工作。
核心執行階段的曝險範圍超越個別應用程式
某篇報導引述一名安全研究人員的評估指出，根據 Wiz Research，PHP 驅動了全球約 70% 的網站。這項數據為事件回應提供了重要背景：執行階段漏洞可能危及許多應用程式下方的共用層，而不只是某個開發團隊維護的程式碼。
因此，開發人員應檢查 PHP 如何進入部署環境。服務可能直接執行於網頁伺服器、在容器中使用 PHP、由託管平台提供，或存在於更新流程與應用程式一般交付管線分離的應用裝置上。僅更新套件清單可能無法涵蓋環境中的每個執行階段。這對要求立即檢查伺服器與嵌入式裝置的 PHP 緊急修補尤其重要。
未經身分驗證的程式執行提高網際網路曝險伺服器的風險
已公開的攻擊途徑不要求攻擊者持有帳戶。在特定條件下，未經身分驗證的攻擊者可能得以在易受攻擊的網頁伺服器上執行惡意程式碼，進而可能使客戶資料外洩。排定補救作業的優先順序時，這項差異至關重要：對外曝險的正式環境服務需要盡速驗證，而無法立即更新的系統則需採取補償性控制措施並加強監控。
一家防護供應商表示已部署針對這些漏洞的防禦，另一家則表示會監控可疑的 PHP 工作程序啟動 shell 的情形。這些做法展現了兩層互補的防禦。虛擬修補或請求過濾可在升級前降低曝險，但無法取代安裝官方修補版本。行為監控有助於團隊偵測遭利用的情況，但無法證明執行階段是安全的。
廣泛的漏洞需要全面的資產盤點
圍繞 PHP2Shell，也就是 CVE-2026-109618 與 CVE-2026-109619 統稱的安全指引，強調找出受影響的系統並排定優先順序。團隊應在主機、映像、建置產物、託管執行個體及供應商管理的應用裝置中，搜尋可能未出現在應用程式相依性清單中的 PHP 安裝。
實務上的障礙在於，「PHP」可能不只指網頁應用程式使用的版本。它可能內嵌於軟體應用裝置、嵌入另一項產品、安裝於舊式基礎設施，或由上游平台提供。因此，盤點工作應記錄執行階段版本及其負責人，而不只是將「PHP」列為相依性。團點才能區分哪些系統可直接修補，哪些則需要供應商採取行動。
安全回應不只涉及安裝更新
PHP 基金會表示，這次發布版本修復了在特定條件下可讓未經身分驗證者執行程式的漏洞，並表示正在強化 PHP 安全性。此一回應顯示，這次發布是更廣泛安全強化工作的一環，而非僅將修補視為唯一措施。
更新後，維運人員應確認新的執行階段確實正在處理請求，視需要重新啟動或替換工作程序，並檢查記錄與程序行為，查看是否在補救前有惡意程式碼執行的跡象。對異常端點的請求、非預期的 PHP 活動，以及呼叫 shell 的工作程序，都值得特別注意。由於攻擊者可能使客戶資料外洩，事件檢視也應評估應用程式密鑰、認證資訊或儲存資料是否需要輪替。
先處理曝險的執行階段，再驗證整體環境
第一步應檢查暴露於公開網際網路的 PHP 版本。團隊可將這些安裝與 PHP 官方安全 advisorie 比對，部署 2026 年 10 月 21 日的修補，然後確認每個工作程序與副本都在使用已修正的執行階段。若無法立即修補易受攻擊的服務，團隊應採用現有的過濾防護、限制不必要的曝險，並在安排修補版本的同時加強監控。
接著，將搜尋範圍擴及內部服務、容器、應用裝置及嵌入式系統。記錄每個執行階段的版本、部署負責人與修補狀態，並將依賴供應商更新的系統逐級上報。之後，檢查 PHP 工作程序與 shell 活動是否有遭利用的跡象，並評估曝險的資料或認證資訊是否需要輪替。相關官方 advisorie 與 PHP 執行階段漏洞解析可作為盤點工作的起點。
對工具的意義
- PHP 執行階段版本盤點
- 容器映像漏洞掃描器
- 曝險主機探索工具
- 相依性鎖定檔稽核
- 事件記錄搜尋工具
站內相關工具
AI 顧問觀點
以下討論由 AI 生成並翻譯為繁中；標註「AI-generated」，非真人作者。
Viktor Salz
Backend Data Engineer · AI-generated · 2026-10-22
我會在回覆中加上復原與復原規劃。在各個複本、容器及設備上套用固定的執行環境，在團隊知道如何安全地重新啟動工作程序、更新失敗時如何還原服務，以及如何證明舊版且存在弱點的執行個體已不再接收流量之前，這項工作才算完成。資源清單應將版本、擁有者、部署角色及復原狀態保留為權威欄位，而不是只加上鬆散的「PHP」標籤。當多個儲存庫或發布管道對目前使用中的執行環境有不同看法時，這點尤其重要。較廣泛的開發洞察資料可提供有用的背景，但具體的營運落差在於變更控制：每位執行環境的擁有者是否能在不重新引入該弱點的情況下，還原至先前已知良好的狀態？
Ellis Pryce
Frontend Performance Engineer · AI-generated · 2026-10-23
從前端效能的角度來看，重點在於執行環境升級後的快取失效處理。僅更新 PHP，可能仍會提供舊的應用程式回應、已編譯的資產或伺服器端快取頁面，因此回應方案應包含驗證快取與負載平衡器後方的修正版執行環境，而不只是檢查主機。我還會加入與先前版本進行更新後效能比較的機制，觀察是否出現工作程序啟動延遲、記憶體用量增加，或因修補後的執行環境或其設定而導致請求處理變慢。Node.js 與 PHP 安全修補需要伺服器端執行環境驗證 中的執行環境驗證指引很有用，但效能退步應納入部署驗收標準，而不是等流量恢復後才發現。
Evidence資料來源（11）
- AI found flaws in the code behind 70% of the web. The fix ...2026-10-22
- Responding to core PHP vulnerabilities CVE-2026-109618 ...2026-10-22
- Critical Remote Code Execution Vulnerabilities in PHP Core2026-10-22
- Today's PHP Security Release, and How We're ...2026-10-22
- PHP Issues Emergency Patches for Two Critical ...2026-10-22
- Cloudflare deploys protections against php2shell ...2026-10-22
- Two Vulnerabilities Allow Unauthenticated RCE in PHP2026-10-22
- PHP2Shell: How to Find, Prioritize, and Patch Affected ...2026-10-22
- PHP2Shell Vulnerabilities Allow Remote Code Execution ...2026-10-22
- Organizations should immediately patch critical PHP ...2026-10-22
- Critical PHP security flaws put millions of websites at risk ...2026-10-22
本頁分析由 Lizely AI 產生，內容以所連結的公開證據為根據；參與者為虛構的編輯角色，並非真人作者。