新聞

PHP重大漏洞PHP2Shell已出現大規模攻擊嘗試。資安公司Hadrian周三（10/21）在官方報告中指出，已於實際環境觀察到大量針對PHP2Shell的攻擊嘗試。Palo Alto Networks旗下Unit 42則估計，全球逾2,260萬個對外曝露的實例可能受到影響，至少一個歐洲國家政府網站已預防性下線，但未透露是哪個國家。

PHP2Shell涉及CVE-2026-109618及CVE-2026-109619兩項重大記憶體漏洞，CVSS v4.0嚴重程度均達9.2分。其中，CVE-2026-109618與記憶體不足（OOM）時的錯誤處理有關，可能讓攻擊者在Apache mod_php預設環境下，無須身分驗證即可遠端執行程式碼；CVE-2026-109619則涉及程式釋放記憶體後仍繼續存取的問題，同樣可能導致遠端執行程式碼。

PHP基金會表示，在2024年進行安全稽核時，PHP核心開發人員就已發現CVE-2026-109618背後的記憶體處理問題，並懷疑可能遭到攻擊者利用，只是當時並未找到具體攻擊途徑。直到今年8月11日，資安公司Calif才利用OpenAI的GPT-5.6 Sol模型，證實該漏洞可被用來遠端執行程式碼，並通報PHP團隊。

PHP原定10月22日發布修補程式，但漏洞編號於20日提前在社群媒體流傳，促使團隊將發布日期提前至21日。隨後Calif又意外公開漏洞概念驗證影片，儘管迅速刪除，副本卻已於網路流傳。

PHP於10月21日14時（UTC）釋出8.2.35、8.3.36、8.4.27及8.5.12等修補版本，但Hadrian早在約2個半小時前，就已觀察到針對PHP2Shell的大規模攻擊嘗試，主要利用PHP的檔案上傳進度追蹤機制（session upload-progress）。Hadrian於14時35分再次更新報告，指出攻擊仍持續發生，並預期可能出現其他利用途徑。

Cloudflare也指出，在PHP2Shell漏洞正式公開前，就已觀察到相關攻擊流量，且攻擊者持續調整惡意請求，試圖規避網頁應用程式防火牆（WAF）的偵測。Cloudflare因此部署新的防護機制，結合HTTP請求與伺服器回應資訊辨識攻擊，並向免費及付費WAF用戶提供防護。

資安公司Wiz表示，PHP支撐全球約7成網站，包括WordPress、Drupal及Joomla等內容管理系統，而PHP2Shell漏洞存在於PHP核心，影響範圍廣泛。Wiz已在上述三套系統的測試環境中，成功驗證攻擊者無須身分驗證即可遠端執行程式碼，並可透過漏洞讀取PHP記憶體中的密碼、身分驗證Token及API金鑰等敏感資料。

英國國家網路安全中心（NCSC）已發布緊急警告，要求各機構立即清查使用PHP的系統，包括內建PHP的第三方產品，並儘速安裝安全更新；若無法修補或採取有效緩解措施，應考慮暫時將相關系統下線。