美國網路安全暨基礎設施安全局（CISA）已將PHP的兩項重大漏洞列入已知遭利用漏洞（KEV）清單。這兩項漏洞合稱PHP2Shell，可讓未經驗證的攻擊者在特定條件下於未修補網站伺服器遠端執行程式碼。使用PHP維運網站與業務系統的組織應儘速檢查。

 

PHP開發團隊於2026年10月21日發布安全更新，修補兩項重大遠端程式碼執行漏洞。公開修補前，已有多家資安業者偵測到利用嘗試，但當時未確認成功案例。

其後，安全研究人員在蜜罐環境中觀察到成功執行程式碼的證據。受測系統使用Apache mod_php搭配PHP 8.4.26。

BleepingComputer於10月27日報導，CISA已將兩項漏洞列入KEV清單，要求適用的美國聯邦機關依規定期限修補。

漏洞編號為CVE-2026-109618與CVE-2026-109619。前者與記憶體不足時的資料清理異常有關；後者涉及請求結束後殘留的內部狀態，均可能引發遠端程式碼執行。

原報導未提供完整受影響版本及CVSS分數。依PHP官方與CERT-EU公告，兩項漏洞的CVSS v4.0分數均為9.2，修補前的PHP 8.2、8.3、8.4與8.5分支版本均須評估。

PHP-FPM、Apache mod_php、php-cgi等提供網頁請求處理的環境，也在風險評估範圍內。

 

管理人員應先盤點網站、內部系統及相依軟體使用的PHP版本與執行方式，優先處理對外服務。

PHP官方已發布以下修補版本：

PHP 8.5 →8.5.12
PHP 8.4 →8.4.27
PHP 8.3 →8.3.36
PHP 8.2 →8.2.35

採用Ubuntu、Red Hat等Linux發行版套件的系統，須比對廠商安全公告與回溯修補紀錄，不宜僅以版本字串判定。

更新後應重新啟動相關服務、核對實際生效套件，並測試網站功能。

無法立即更新時，應評估暫時限制對外連線，持續監控異常請求；防護設定不能取代正式修補。

 

原報導未提供台灣受害案例，因此無法據此判定國內已有相同攻擊事件。

使用PHP提供公共網站、內部平台或業務服務的機關與企業，可將此漏洞列入優先處理清單，保存資產盤點、更新紀錄與修補驗證結果。

若已採用組態基準（GCB），亦可定期檢查不必要的服務與模組，但仍須完成漏洞修補。

 

【新聞出處】

原文標題：CISA confirms PHP2Shell vulnerabilities now exploited in attacks

媒體名稱：BleepingComputer

發布日期：2026年10月27日

原文網址：https://www.bleepingcomputer.com/news/security/cisa-confirms-php2shell-vulnerabilities-now-exploited-in-attacks/

官方補充資料：PHP安全公告
https://www.php.net/archive/2026.php