「黑色十月」用來形容2026年10月一連串網絡保安漏洞披露及事故，並非一場有統一策劃者的單一攻擊。當中的焦點是PHP2Shell：PHP出現兩個嚴重漏洞，未經登入的攻擊者可能利用特製請求，在有漏洞的伺服器上執行程式碼。研究人員使用AI協助發現漏洞，提早流出的技術資料，以及修補前已出現的探測報告，都令事件更受關注。32745

PHP2Shell是甚麼？

PHP2Shell涉及CVE-2026-109618及CVE-2026-109619，影響處理網絡請求的PHP安裝環境，包括PHP-FPM，以及Apache配合mod_php等常見配置。1 兩個漏洞的CVSS v4.0評分均為9.2，攻擊者毋須登入，便可能達致遠端程式碼執行（RCE）。18

報道指研究人員曾借助AI模型找出漏洞。45 不過，這不代表AI本身執行了攻擊；核心風險在於有漏洞的PHP軟件，以及伺服器收到特製請求後可能出現的問題。

資料提早流出，修補工作加急

原定披露安排受到干擾：SecurityWeek及VulnCheck報道，漏洞資料於10月20日提早在網上流出。2738 Amazon Threat Intelligence則表示，10月17日已在其誘餌網絡觀察到疑似利用漏洞的嘗試，比PHP發布修補程式早四日。27 這顯示有人可能曾經探測漏洞，但單憑一次疑似嘗試，不能證明任何實際系統已遭入侵。

PHP於2026年10月21日發布安全更新，修補版本包括PHP 8.5.12、8.4.27、8.3.36及8.2.35。18 美國網絡安全和基礎設施安全局（CISA）呼籲機構立即安裝更新，並於10月26日把兩個漏洞列入「已知遭利用漏洞」（KEV）清單。1

風險嚴重，但要分清「有人試」和「已確認入侵」

VulnCheck表示，團隊曾為CVE-2026-109618研發出可運作的攻擊程式：在x86-64平台上的PHP 8.4.26，攻擊者可把已確認的記憶體洩漏問題與遠端程式碼執行串連起來，即使系統啟用了ASLR、並設定display_errors=off亦然。43 這項研究說明，記憶體保護措施不能取代安裝修補程式；但其結果針對報告所述的特定環境，並不代表所有PHP系統都同樣容易受攻擊。

另有報道指，攻擊者曾把PHP2Shell與Linux核心漏洞Fragnesia串連，用以取得防火牆的root權限；相關活動涉及一個與政府有關的環境。21 另有報道提及，攻擊者針對直接連上互聯網的PAN-OS管理介面。25 這些報告反映風險並非紙上談兵，但不足以證明大規模PHP部署已普遍失守。

分清攻擊探測與成功入侵尤其重要：掃描或利用嘗試，並不等於攻擊者已成功進入系統。一份於10月23日更新的安全通告當時表示，尚未掌握PHP2Shell遭大規模成功利用的確認案例；另一方面，VulnCheck已在特定配置下展示可運作的攻擊程式。3343

企業及系統管理人員可以點做？

• 盡快升級PHP。 按照所用PHP分支安裝相應修補版本，或更新至該分支較新的適用安全版本。CISA建議立即修補。118
• 盤點網站以外的PHP環境。 CISA的警示涵蓋所有處理網絡請求的PHP安裝，包括不同網頁伺服器及應用程式配置。1 亦應留意設備或管理介面內嵌的PHP。
• 優先處理未修補、可從互聯網存取的系統。 如果未能即時更新，應評估能否限制連線，或暫時隔離服務，直至完成修補。
• 檢查修補前有否遭入侵跡象。 由於修補前已有探測報告，完成更新並不代表系統之前一定沒有被入侵。27

PHP2Shell帶出的實際教訓很直接：當廣泛使用的伺服器軟件出現嚴重漏洞，機構既要盡快修補，也要清楚知道相關軟件究竟部署在哪裏。

「黑色十月」用來形容2026年10月一連串網絡保安漏洞披露及事故，並非一場有統一策劃者的單一攻擊。當中的焦點是PHP2Shell：PHP出現兩個嚴重漏洞，未經登入的攻擊者可能利用特製請求，在有漏洞的伺服器上執行程式碼。研究人員使用AI協助發現漏洞，提早流出的技術資料，以及修補前已出現的探測報告，都令事件更受關注。32745

PHP2Shell是甚麼？

PHP2Shell涉及CVE-2026-109618及CVE-2026-109619，影響處理網絡請求的PHP安裝環境，包括PHP-FPM，以及Apache配合mod_php等常見配置。1 兩個漏洞的CVSS v4.0評分均為9.2，攻擊者毋須登入，便可能達致遠端程式碼執行（RCE）。18

報道指研究人員曾借助AI模型找出漏洞。45 不過，這不代表AI本身執行了攻擊；核心風險在於有漏洞的PHP軟件，以及伺服器收到特製請求後可能出現的問題。

資料提早流出，修補工作加急

原定披露安排受到干擾：SecurityWeek及VulnCheck報道，漏洞資料於10月20日提早在網上流出。2738 Amazon Threat Intelligence則表示，10月17日已在其誘餌網絡觀察到疑似利用漏洞的嘗試，比PHP發布修補程式早四日。27 這顯示有人可能曾經探測漏洞，但單憑一次疑似嘗試，不能證明任何實際系統已遭入侵。

PHP於2026年10月21日發布安全更新，修補版本包括PHP 8.5.12、8.4.27、8.3.36及8.2.35。18 美國網絡安全和基礎設施安全局（CISA）呼籲機構立即安裝更新，並於10月26日把兩個漏洞列入「已知遭利用漏洞」（KEV）清單。1

風險嚴重，但要分清「有人試」和「已確認入侵」

VulnCheck表示，團隊曾為CVE-2026-109618研發出可運作的攻擊程式：在x86-64平台上的PHP 8.4.26，攻擊者可把已確認的記憶體洩漏問題與遠端程式碼執行串連起來，即使系統啟用了ASLR、並設定display_errors=off亦然。43 這項研究說明，記憶體保護措施不能取代安裝修補程式；但其結果針對報告所述的特定環境，並不代表所有PHP系統都同樣容易受攻擊。

另有報道指，攻擊者曾把PHP2Shell與Linux核心漏洞Fragnesia串連，用以取得防火牆的root權限；相關活動涉及一個與政府有關的環境。21 另有報道提及，攻擊者針對直接連上互聯網的PAN-OS管理介面。25 這些報告反映風險並非紙上談兵，但不足以證明大規模PHP部署已普遍失守。

分清攻擊探測與成功入侵尤其重要：掃描或利用嘗試，並不等於攻擊者已成功進入系統。一份於10月23日更新的安全通告當時表示，尚未掌握PHP2Shell遭大規模成功利用的確認案例；另一方面，VulnCheck已在特定配置下展示可運作的攻擊程式。3343

企業及系統管理人員可以點做？

• 盡快升級PHP。 按照所用PHP分支安裝相應修補版本，或更新至該分支較新的適用安全版本。CISA建議立即修補。118
• 盤點網站以外的PHP環境。 CISA的警示涵蓋所有處理網絡請求的PHP安裝，包括不同網頁伺服器及應用程式配置。1 亦應留意設備或管理介面內嵌的PHP。
• 優先處理未修補、可從互聯網存取的系統。 如果未能即時更新，應評估能否限制連線，或暫時隔離服務，直至完成修補。
• 檢查修補前有否遭入侵跡象。 由於修補前已有探測報告，完成更新並不代表系統之前一定沒有被入侵。27

PHP2Shell帶出的實際教訓很直接：當廣泛使用的伺服器軟件出現嚴重漏洞，機構既要盡快修補，也要清楚知道相關軟件究竟部署在哪裏。