新聞

10月20日PHP開發團隊發布公告，將於世界協調時間21日下午14時（臺灣時間晚間22時）發布重要安全性更新，修補2個CVSS v4.0嚴重程度達到9.2分的重大漏洞，呼籲所有用戶提前準備，以便更新一推出就立即套用，然而，現在傳出相關資訊已經提前外流。根據W3Techs網站的統計資料，目前全球約有近七成網站（69.3%）使用PHP，加上WordPress、Drupal、Joomla、Magento等許多常見的內容管理系統（CMS）與電商平臺皆以PHP打造而成，影響範圍相當廣泛。

這些漏洞的消息曝光，源自網路論壇Hacker News上的一篇貼文，發文者聲稱透過可靠的消息來源得知，PHP開發團隊即將於中歐夏令時間（CEST）22日下午18時（臺灣時間23日淩晨0時），公布兩個CVSS評分達到滿分10分的遠端程式碼執行（RCE）漏洞，影響PHP 5以上的所有版本，漏洞編號是CVE-2026-109618、CVE-2026-109619。威脅情報公司watchTowr後續確認上述消息的真實性，這兩個提前曝光的弱點的確存在，都是RCE漏洞，呼籲用戶嚴肅看待相關資訊，並在修補程式出現後立即套用。Nextron Systems研究員Florian Roth透露，其中一個RCE漏洞存在於PHP核心，CVSS評分達到10分，只有PHP 8以上版本能收到相關修補程式。CERT-EU也針對此事發布警告，透露PHP公告提及的兩個漏洞就是CVE-2026-109618與CVE-2026-109619。

資安公司Sansec表示，已有疑似AI資安公司Calif.IO打造的漏洞利用工具PHP2Shell出現，號稱能在PHP 5.4.0以上版本運作，該工具就是針對CVE-2026-109618與CVE-2026-109619而來，這也是兩個漏洞統稱為PHP2Shell的由來。Sansec推測，在PHP發布正式漏洞公告後的15分鐘內，就有可能出現大規模攻擊活動。威脅情報公司Huntress指出，一度有人在網路上公布概念驗證（PoC）影片（現已下架）。資安專家Kevin Beaumont警告，已有研究人員疑似根據PHP開發團隊在GitHub提交的內容，利用大型語言模型生成漏洞細節資訊並公布。