PHP2Shell是兩個PHP嚴重漏洞的統稱，編號為CVE-2026-109618及CVE-2026-109619。漏洞消息在2026年10月引發全球緊急修補：PHP廣泛用於網站，而這兩個漏洞可能令攻擊者毋須登入，就能在受影響系統遠端執行程式碼。不過，PHP據報支援約七成網站，並不代表七成網站已確認有漏洞；有攻擊嘗試的報道，也不能當成成功入侵的數字。4922

PHP2Shell漏洞有咩風險？

漏洞出在PHP本身，而唔係某一個網站或內容管理系統。新加坡網絡安全局形容，其中一個與記憶體耗盡時的處理有關，另一個則屬於「釋放後使用」（use-after-free）問題；兩者都有可能讓未經身份驗證的遠端攻擊者在受影響系統執行程式碼。4

簡單講，攻擊者或可令有漏洞的伺服器替自己執行指令，毋須先登入。研究人員報告的嚴重程度評分為10分中的9.2分。49

PHP據報支援約七成網站，解釋了為何漏洞消息一出，各地營運者都要迅速檢查和修補。但這個比例講的是PHP的普及程度，唔是已確認有漏洞的網站數目；實際風險要視乎各系統使用的PHP版本等情況。4914

AI有份協助發現，PHP提早推出修補

公開報道指，網絡安全公司Calif於8月進行程式碼審查時，透過OpenAI資助的「Patch the Planet」計劃使用GPT-5.6 Sol，發現一個漏洞。Wiz Research亦表示，其研究過程用到Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol。這些資料支持將發現過程形容為「AI輔助」；但不足以證明AI在無人參與下獨立完成整個發現及驗證流程。1925

PHP項目於10月21日發布修補版本。SecurityWeek報道，漏洞編號在前一日已開始流傳，因此PHP比原定披露時間提早一天推出修補。報道列出的修補版本為PHP 8.2.35、8.3.36、8.4.27及8.5.12。62

點解有網站選擇暫停服務？

部分機構在檢查或修補系統期間，選擇暫時關閉服務。BBC報道，政府入口網站、遊戲平台及網上論壇等服務受影響；芬蘭政府、愛丁堡市議會及BBC的部分頁面，以及荷蘭網絡安全機構的網站，亦曾被下線。49

服務中斷反映修補工作的營運影響，但單憑網站暫停，不能證明網站已遭入侵。BBC亦報道，美國國家安全局建議未能即時修補的機構，先將PHP系統下線。49

攻擊嘗試不等於成功入侵

Nextgov引述Cloudflare行政總裁Matthew Prince表示，公司網絡在漏洞公開前幾小時已偵測到數千次攻擊嘗試；公開後兩小時內升至數十萬次，其後累積達數百萬次。22 這些數字反映的是嘗試利用漏洞的流量，並非經核實的成功入侵宗數。

目前報道未能確認一個可靠的成功入侵總數。估算可能受影響的系統數目、自動化請求、蜜罐偵測到的活動，以及已確認的入侵，代表的是不同事情，不應混為一個「被入侵數字」。

「黑色十月」係乜，又唔代表乜？

「黑色十月」是用來形容2026年10月一連串網絡安全披露及事件的稱呼。PHP2Shell是當時討論焦點之一，但現有報道未能證明這些事件是一場協調式的全球攻擊。11114

有證據支持的結論是：PHP出現嚴重安全警報，各地急於修補，部分服務亦因應風險而暫停。相反，不能把PHP據報佔網站約七成，當成已確認受影響的比例；亦不能把攻擊嘗試次數當成大規模入侵的證據。

對網站及系統營運者而言，實際要點是檢查PHP執行環境，並按所用版本安裝相應修補版本。報道列出的修補版本涵蓋PHP 8.2至8.5；只更新網站或內容管理系統，唔應被當成已更新底層PHP執行環境。1462

PHP2Shell是兩個PHP嚴重漏洞的統稱，編號為CVE-2026-109618及CVE-2026-109619。漏洞消息在2026年10月引發全球緊急修補：PHP廣泛用於網站，而這兩個漏洞可能令攻擊者毋須登入，就能在受影響系統遠端執行程式碼。不過，PHP據報支援約七成網站，並不代表七成網站已確認有漏洞；有攻擊嘗試的報道，也不能當成成功入侵的數字。4922

PHP2Shell漏洞有咩風險？

漏洞出在PHP本身，而唔係某一個網站或內容管理系統。新加坡網絡安全局形容，其中一個與記憶體耗盡時的處理有關，另一個則屬於「釋放後使用」（use-after-free）問題；兩者都有可能讓未經身份驗證的遠端攻擊者在受影響系統執行程式碼。4

簡單講，攻擊者或可令有漏洞的伺服器替自己執行指令，毋須先登入。研究人員報告的嚴重程度評分為10分中的9.2分。49

PHP據報支援約七成網站，解釋了為何漏洞消息一出，各地營運者都要迅速檢查和修補。但這個比例講的是PHP的普及程度，唔是已確認有漏洞的網站數目；實際風險要視乎各系統使用的PHP版本等情況。4914

AI有份協助發現，PHP提早推出修補

公開報道指，網絡安全公司Calif於8月進行程式碼審查時，透過OpenAI資助的「Patch the Planet」計劃使用GPT-5.6 Sol，發現一個漏洞。Wiz Research亦表示，其研究過程用到Wiz Atlas、Gemini 4 Argon及GPT-5.6 Sol。這些資料支持將發現過程形容為「AI輔助」；但不足以證明AI在無人參與下獨立完成整個發現及驗證流程。1925

PHP項目於10月21日發布修補版本。SecurityWeek報道，漏洞編號在前一日已開始流傳，因此PHP比原定披露時間提早一天推出修補。報道列出的修補版本為PHP 8.2.35、8.3.36、8.4.27及8.5.12。62

點解有網站選擇暫停服務？

部分機構在檢查或修補系統期間，選擇暫時關閉服務。BBC報道，政府入口網站、遊戲平台及網上論壇等服務受影響；芬蘭政府、愛丁堡市議會及BBC的部分頁面，以及荷蘭網絡安全機構的網站，亦曾被下線。49

服務中斷反映修補工作的營運影響，但單憑網站暫停，不能證明網站已遭入侵。BBC亦報道，美國國家安全局建議未能即時修補的機構，先將PHP系統下線。49

攻擊嘗試不等於成功入侵

Nextgov引述Cloudflare行政總裁Matthew Prince表示，公司網絡在漏洞公開前幾小時已偵測到數千次攻擊嘗試；公開後兩小時內升至數十萬次，其後累積達數百萬次。22 這些數字反映的是嘗試利用漏洞的流量，並非經核實的成功入侵宗數。

目前報道未能確認一個可靠的成功入侵總數。估算可能受影響的系統數目、自動化請求、蜜罐偵測到的活動，以及已確認的入侵，代表的是不同事情，不應混為一個「被入侵數字」。

「黑色十月」係乜，又唔代表乜？

「黑色十月」是用來形容2026年10月一連串網絡安全披露及事件的稱呼。PHP2Shell是當時討論焦點之一，但現有報道未能證明這些事件是一場協調式的全球攻擊。11114

有證據支持的結論是：PHP出現嚴重安全警報，各地急於修補，部分服務亦因應風險而暫停。相反，不能把PHP據報佔網站約七成，當成已確認受影響的比例；亦不能把攻擊嘗試次數當成大規模入侵的證據。

對網站及系統營運者而言，實際要點是檢查PHP執行環境，並按所用版本安裝相應修補版本。報道列出的修補版本涵蓋PHP 8.2至8.5；只更新網站或內容管理系統，唔應被當成已更新底層PHP執行環境。1462