PHP2Shell是PHP核心執行環境兩項嚴重漏洞的合稱，分別為CVE-2026-109618和CVE-2026-109619。兩者在CVSS v4.0下均獲評9.2分，屬「嚴重」級別；未經身份驗證的攻擊者可藉此在有漏洞的伺服器執行程式碼。PHP專案於2026年10月21日推出緊急修補程式。47

營運人員現階段最重要的行動是更新PHP。雖然有報告提到攻擊者曾嘗試利用漏洞，包括Amazon在漏洞公開前於蜜罐系統觀察到的活動，但這些紀錄並不代表攻擊者已成功入侵實際運作中的系統。4836

兩項PHP2Shell漏洞有何分別？

兩項漏洞涉及不同的問題：

• CVE-2026-109618涉及記憶體耗盡時的處理。 PHP在處理記憶體耗盡情況時，可能會於內部請求資料尚未完全初始化時中斷處理。之後清理資料時，PHP有機會把無效資料當成有效資料處理。58
• CVE-2026-109619涉及過時的內部狀態。 報告指請求相關的狀態可能在其所依附的記憶體釋放後仍然保留，形成「釋放後使用」（use-after-free）問題。9

這些漏洞與PHP處理特製HTTP請求的方式有關，包括常用於檔案上載的multipart/form-data格式。47若攻擊成功，程式碼會以網頁工作程序帳戶（web-worker account）的權限執行；這不代表攻擊者必然取得管理員或root權限。1

為何評分是9.2？這個分數又代表甚麼？

兩項漏洞在CVSS v4.0下均獲評9.2分，屬嚴重級別。其中一個重要風險是未經身份驗證的遠端程式碼執行：攻擊者毋須登入，便可嘗試在受影響的伺服器執行程式碼。47

目前提供的資料沒有列出完整CVSS評分向量，因此無法準確拆解哪些評分項目令分數達到9.2。評級反映漏洞的嚴重程度，但不能單憑分數判斷某一部伺服器遭攻擊的機會有多高，也不能據此確認已觀察到的攻擊嘗試是否成功。

哪些PHP版本受影響？應更新至哪個版本？

報告指受影響版本範圍由PHP 5.4起。55PHP 8.x各分支推出的緊急修補版本如下：

PHP分支	已修補版本
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

上述版本於2026年10月21日推出。請更新至所用分支的修補版本，或該分支其後推出的版本。47

目前列出的修補版本涵蓋8.2至8.5分支。如果系統使用更舊或已停止支援的PHP分支，請向PHP發行商或作業系統供應商查詢適用的修補程式及升級指引；不要假設上表的版本可直接套用。

有攻擊嘗試，不等於已證實入侵

漏洞原定於10月22日公開，相關資訊在10月20日提前流出；PHP其後於10月21日提早推出緊急修補程式。842現有資料支持「資訊提早公開、修補程式提早推出」這個時間線，但未能證實原因是否與一段被誤公開的Calif示範影片有關。

Amazon Threat Intelligence表示，MadPot蜜罐系統的遙測資料記錄到一宗PHP2Shell攻擊嘗試，日期為10月17日，即漏洞公開前四日。Amazon亦表示，在10月21日修補程式推出前後，曾識別到概念驗證（PoC）漏洞利用程式。蜜罐資料反映有人向誘餌系統發動活動，不等於某個真實機構已遭入侵。48

Cloudflare表示已在漏洞公開前後部署防護；同期報道亦提到安全供應商觀察到攻擊流量或嘗試。5535至於實際攻擊規模和成功率，各方說法並不一致：有供應商聲稱已出現活躍或大規模利用，另有同期報道指政府機構尚未確認成功攻擊。3336

現有證據足以支持各方認真處理攻擊嘗試，但不足以把每宗嘗試都視為成功入侵，亦不足以斷定攻擊已經大規模發生。評估風險和檢視事故報告時，應分清楚「有人嘗試攻擊」、「漏洞可被利用」和「實際系統確認遭入侵」這幾種情況。

修補期間可以怎樣做？

首要措施是安裝已修補的PHP版本。 AWS指出，升級才是完整修復方法。如未能即時更新，暫時降低暴露風險的措施可包括封鎖multipart檔案上載；但這些措施不能取代更新。4748

加拿大網絡安全中心已就漏洞發出嚴重級別警示，指出攻擊者可能毋須身份驗證便執行程式碼。2現有資料亦報道NSA建議，若系統未能即時更新，應將系統離線。27如果PHP是產品內置元件，或由託管服務商管理，請按照適用的供應商及政府公告處理。

實際行動很直接：先找出哪些地方正在運行PHP，再套用相應修補程式，並審慎調查安全警報。PHP2Shell的嚴重程度值得即時關注，但攻擊嘗試、可行的漏洞利用和已確認的生產環境入侵，仍是不同的事。

PHP2Shell是PHP核心執行環境兩項嚴重漏洞的合稱，分別為CVE-2026-109618和CVE-2026-109619。兩者在CVSS v4.0下均獲評9.2分，屬「嚴重」級別；未經身份驗證的攻擊者可藉此在有漏洞的伺服器執行程式碼。PHP專案於2026年10月21日推出緊急修補程式。47

營運人員現階段最重要的行動是更新PHP。雖然有報告提到攻擊者曾嘗試利用漏洞，包括Amazon在漏洞公開前於蜜罐系統觀察到的活動，但這些紀錄並不代表攻擊者已成功入侵實際運作中的系統。4836

兩項PHP2Shell漏洞有何分別？

兩項漏洞涉及不同的問題：

• CVE-2026-109618涉及記憶體耗盡時的處理。 PHP在處理記憶體耗盡情況時，可能會於內部請求資料尚未完全初始化時中斷處理。之後清理資料時，PHP有機會把無效資料當成有效資料處理。58
• CVE-2026-109619涉及過時的內部狀態。 報告指請求相關的狀態可能在其所依附的記憶體釋放後仍然保留，形成「釋放後使用」（use-after-free）問題。9

這些漏洞與PHP處理特製HTTP請求的方式有關，包括常用於檔案上載的multipart/form-data格式。47若攻擊成功，程式碼會以網頁工作程序帳戶（web-worker account）的權限執行；這不代表攻擊者必然取得管理員或root權限。1

為何評分是9.2？這個分數又代表甚麼？

兩項漏洞在CVSS v4.0下均獲評9.2分，屬嚴重級別。其中一個重要風險是未經身份驗證的遠端程式碼執行：攻擊者毋須登入，便可嘗試在受影響的伺服器執行程式碼。47

目前提供的資料沒有列出完整CVSS評分向量，因此無法準確拆解哪些評分項目令分數達到9.2。評級反映漏洞的嚴重程度，但不能單憑分數判斷某一部伺服器遭攻擊的機會有多高，也不能據此確認已觀察到的攻擊嘗試是否成功。

哪些PHP版本受影響？應更新至哪個版本？

報告指受影響版本範圍由PHP 5.4起。55PHP 8.x各分支推出的緊急修補版本如下：

PHP分支	已修補版本
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

上述版本於2026年10月21日推出。請更新至所用分支的修補版本，或該分支其後推出的版本。47

目前列出的修補版本涵蓋8.2至8.5分支。如果系統使用更舊或已停止支援的PHP分支，請向PHP發行商或作業系統供應商查詢適用的修補程式及升級指引；不要假設上表的版本可直接套用。

有攻擊嘗試，不等於已證實入侵

漏洞原定於10月22日公開，相關資訊在10月20日提前流出；PHP其後於10月21日提早推出緊急修補程式。842現有資料支持「資訊提早公開、修補程式提早推出」這個時間線，但未能證實原因是否與一段被誤公開的Calif示範影片有關。

Amazon Threat Intelligence表示，MadPot蜜罐系統的遙測資料記錄到一宗PHP2Shell攻擊嘗試，日期為10月17日，即漏洞公開前四日。Amazon亦表示，在10月21日修補程式推出前後，曾識別到概念驗證（PoC）漏洞利用程式。蜜罐資料反映有人向誘餌系統發動活動，不等於某個真實機構已遭入侵。48

Cloudflare表示已在漏洞公開前後部署防護；同期報道亦提到安全供應商觀察到攻擊流量或嘗試。5535至於實際攻擊規模和成功率，各方說法並不一致：有供應商聲稱已出現活躍或大規模利用，另有同期報道指政府機構尚未確認成功攻擊。3336

現有證據足以支持各方認真處理攻擊嘗試，但不足以把每宗嘗試都視為成功入侵，亦不足以斷定攻擊已經大規模發生。評估風險和檢視事故報告時，應分清楚「有人嘗試攻擊」、「漏洞可被利用」和「實際系統確認遭入侵」這幾種情況。

修補期間可以怎樣做？

首要措施是安裝已修補的PHP版本。 AWS指出，升級才是完整修復方法。如未能即時更新，暫時降低暴露風險的措施可包括封鎖multipart檔案上載；但這些措施不能取代更新。4748

加拿大網絡安全中心已就漏洞發出嚴重級別警示，指出攻擊者可能毋須身份驗證便執行程式碼。2現有資料亦報道NSA建議，若系統未能即時更新，應將系統離線。27如果PHP是產品內置元件，或由託管服務商管理，請按照適用的供應商及政府公告處理。

實際行動很直接：先找出哪些地方正在運行PHP，再套用相應修補程式，並審慎調查安全警報。PHP2Shell的嚴重程度值得即時關注，但攻擊嘗試、可行的漏洞利用和已確認的生產環境入侵，仍是不同的事。