PHP2Shell 嚴重漏洞來襲：兩項 CVSS 9.2 分漏洞可能無需登入即遠端控制伺服器，WordPress 網站須緊急更新

AI 摘要

• PHP 披露代號 PHP2Shell 的兩項漏洞，CVSS v4.0 評分均為 9.2 分
• 攻擊者在特定條件下毋須登入即可能遠端執行程式碼並控制伺服器
• 漏洞位於 PHP 核心，PHP 官方已發布 8.5.12、8.4.27、8.3.36 及 8.2.35 等修補版本

全球大量網站所依賴的伺服器端程式語言 PHP 近日被揭露兩項代號為 PHP2Shell 的嚴重安全漏洞。根據來源資料，攻擊者在特定條件下毋須登入網站，便可能遠端執行惡意程式碼，甚至控制伺服器。兩項漏洞的 CVSS v4.0 風險評分均為 9.2 分，影響範圍涵蓋 WordPress、Drupal、Joomla 等大量使用 PHP 的網站系統。

事件背景與官方回應

PHP 開發團隊於當地時間 2026 年 10 月 21 日發出公告並發布緊急安全更新。香港網絡安全事故協調中心對此次事件發出最高級別的風險警告。歐盟網絡安全局 ENISA、CERT-EU 及多個國家的網絡安全機構亦聯合呼籲企業立即修補。中國國家工信部同時發出風險提示，建議相關單位及使用者立即進行全面排查並升級至最新安全版本。

由於漏洞位於 PHP 核心，而非個別網站外掛程式，單靠更新 WordPress 或停用插件，並不能解決問題。

兩項記憶體管理漏洞的技術概要

此次發現的漏洞分別為 CVE-2026-109618 及 CVE-2026-109619，均涉及 PHP 處理網頁請求時的內部記憶體管理機制。

• CVE-2026-109618：屬於記憶體不足（Out-of-Memory，OOM）處理缺陷。當記憶體配置失敗時，部分內部資料可能尚未完成初始化，清理程序仍將這些不完整資料當作有效資料處理，造成記憶體損毀。
• CVE-2026-109619：涉及殘留的全域狀態（Stale Global State）。請求完成並釋放記憶體後，部分內部指標可能保留舊狀態，同一工作程序處理下一項請求時，便可能錯誤地使用已釋放的記憶體，形成 Use-after-free 等記憶體安全風險。

來源指出，安全研究人員已展示可成功利用相關漏洞執行惡意程式碼的方法，意味風險已不只停留於理論層面。若攻擊成功，攻擊者可能以 PHP 工作程序的權限執行指令，讀取網站設定、存取資料庫憑證、篡改網頁內容，甚至進一步入侵同一伺服器上的其他服務。

受影響的執行環境與風險差異

PHP 官方指出，此次問題影響各種處理網頁請求的 PHP 執行環境，包括 Apache mod_php、PHP-FPM、php-cgi、FrankenPHP 及 LiteSpeed。其中 Apache mod_php 被評為風險最高的部署方式。

研究人員表示，在特定配置下，攻擊者可於應用程式自身的 PHP 程式碼開始執行前，即透過請求處理流程觸發漏洞。PHP-FPM 採用不同的工作程序管理機制，能阻止部分針對 mod_php 的利用方式，但研究人員亦已驗證，配合合適的應用程式操作及錯誤處理條件，PHP-FPM 仍可能遭到攻擊。因此，即使網站採用 Nginx 配合 PHP-FPM，也不應視為已經安全。

修補版本與更新建議

PHP 開發團隊已發布以下安全修補版本，使用舊版本的網站應盡快更新至相應版本或更新的安全版本：

PHP 8.1 及更舊版本已不再由 PHP 官方提供一般安全更新。不過，部分 Linux 發行商及長期支援供應商可能自行將修補回溯移植至舊版本，因此管理員應查看供應商的安全公告，而不能只依 PHP 版本號判斷是否已修補。PHP 官方亦提供 PHP 7.4、8.0 及 8.1 的最小化原始碼修補，方便仍需維護舊系統的供應商與開發者使用，但這並不代表相關舊版本重新獲得官方長期支援。

關閉 Session Upload Progress 的限制

在漏洞正式公開前，部分網絡安全研究機構曾建議透過修改設定停用 Session Upload Progress 功能，即 session.upload_progress.enabled = Off。此功能原用於追蹤檔案上載進度，預設為啟用狀態。

PHP 官方確認，停用該功能可阻止其中一條已知攻擊路徑，但無法完整修補兩項漏洞，原因是 CVE-2026-109618 涉及更廣泛的記憶體不足處理問題，而 CVE-2026-109619 亦存在其他可能觸發殘留狀態的途徑。此外，相關設定必須在 PHP 開始解析請求前生效，並需重新啟動 PHP 工作程序。若僅在應用程式內使用 ini_set()，或依賴 PHP-FPM 的 .user.ini 設定，可能無法阻止已確認的攻擊流程。

對於無法立即更新的網站，PHP 官方亦提出限制請求大小、降低可由外部觸發的嚴重錯誤，以及在適當情況下調整記憶體管理設定等臨時措施。然而，部分緩解方法可能增加伺服器耗盡記憶體的風險，必須按實際部署環境評估。PHP 官方明確指出，目前沒有任何已知臨時措施能完整取代安全更新。

對 WordPress 網站的影響

WordPress 本身以 PHP 開發，WooCommerce、Drupal、Joomla 以及大量網站插件和主題亦依賴 PHP 執行。即使網站已安裝最新的 WordPress Core、Plugin 及 Theme，只要底層 PHP 執行環境仍存在漏洞，便可能受到影響。

使用 AWS Lightsail、Amazon EC2、VPS、自架伺服器或其他雲端託管平台的管理員，應先核實網站實際使用的 PHP 版本，而非只檢查主機的 Linux 版本。若使用 Linux 發行商提供的 PHP 套件，應確認相關修補是否已回溯整合；若使用自行編譯的 PHP、第三方套件庫或預先安裝的應用程式映像，則需另行確認更新來源。雲端平台作業系統映像的發布日期，也不一定能證明其中的 PHP 已完成修補。

由於跨主要 PHP 版本升級可能影響插件、主題及自訂程式碼，企業應先備份網站與資料庫，於測試環境驗證兼容性，再安排正式更新。考慮到此漏洞的嚴重程度，企業不應僅因等待下一輪例行系統升級而長時間繼續使用未修補版本。來源提及，日本有部分網站已緊急暫停服務進行更新。

AI 協助發現漏洞：機遇與隱憂

此次事件的另一焦點是人工智能在漏洞研究中的角色。OpenAI 表示，網絡安全研究公司 Calif 在「Patch the Planet」計劃中，利用 GPT-5.6 Sol 協助發現其中一項 PHP 嚴重漏洞，並識別出兩項致命漏洞。Google 旗下網絡安全公司 Wiz 則獨立發現並通報兩項漏洞。過去約兩個月，OpenAI、Wiz、Cloudflare、PHP 維護團隊及其他合作夥伴共同進行漏洞驗證、修補測試及全球協調披露。PHP 開發團隊負責正式修補及發布安全版本，雲端服務商與網絡安全機構則提前準備防護措施。

OpenAI 指出，先進 AI 模型正大幅提高發現複雜軟件漏洞的能力，但同樣技術亦可能被攻擊者利用，加快分析安全修補程式、尋找可利用漏洞及開發自動化攻擊工具。這意味著重大漏洞由發現、公開到大規模利用之間的時間，可能進一步縮短。

歐盟聯合警告與企業應變建議

歐盟委員會、ENISA、CERT-EU、Europol 歐洲網絡犯罪中心及歐盟各國電腦保安事故應變團隊，已就此次 PHP 漏洞發出聯合安全警告。當局要求企業立即盤點使用 PHP 的網站與服務，優先修補公開連接互聯網的系統，並與雲端及託管供應商協調更新。企業亦應監察伺服器的異常請求、PHP 工作程序崩潰、可疑檔案變更及不明對外連線，並評估更新前是否已出現可疑活動。

對香港企業而言，除網站及電子商貿平台外，內部使用 PHP 的客戶管理系統、員工入口、檔案上載服務及舊式業務應用程式，同樣應納入檢查範圍。香港資訊科技商會榮譽會長方保僑表示，當務之急是盡快完成系統盤點並安裝官方最新修補程式；若網站架構複雜、暫時無法升級，最安全的做法是將網站暫時離線或切換至維護模式，待漏洞徹底解決後再重新開放。

小結

此次 PHP2Shell 事件反映，網站安全不僅取決於 WordPress 等應用程式是否保持最新，底層程式語言、Web Server、作業系統及託管平台的安全維護同樣重要。在 AI 已能協助發現複雜底層漏洞的背景下，企業需要縮短安全更新周期，並建立更有效的漏洞管理及緊急應變程序。

Reference Link : pcmarket.com.hk