PHP2Shell 是兩個 PHP 核心漏洞的統稱：CVE-2026-109618 和 CVE-2026-109619。兩者在特定條件下都可能讓攻擊者毋須登入，便能在受影響伺服器執行程式碼，對仍未更新的系統構成嚴重風險。PHP 已於 2026 年 10 月 21 日發布修補版本；事件期間，部分機構亦曾預防性暫停服務。要留意，觀察到掃描或攻擊嘗試，並不代表已確認成功入侵。4718

PHP2Shell 漏洞是甚麼？

漏洞位於 PHP 本身，而非某一個網站外掛或應用程式。其中一個涉及記憶體耗盡時的處理，另一個涉及過時的全域狀態。在特定情況下，精心製作的網絡請求可能觸發遠端程式碼執行；其中一個漏洞亦可能令敏感的程序記憶體外洩。411

PHP 廣泛用於網站。有報道估計，全球最多約七成網站使用 PHP；但這不代表每個 PHP 網站都受影響，亦不代表風險一樣高。實際風險視乎 PHP 版本、設定，以及受影響程式路徑能否被外部請求觸及。4546

AI 協助發現，披露時間卻提早了

報道將發現及處理漏洞的工作歸功於 Wiz、Calif 和 OpenAI 的研究人員及團隊；部分報道亦形容 AI 參與了研究過程。不過，現有資料未能確立所有發現細節，例如是否先由研究人員將 WordPress 漏洞利用方式改寫至 Drupal，亦未能清楚說明每個 CVE 分別由哪個團隊發現。1445

據事件相關報道，底層記憶體處理問題早前曾被留意，但當時尚未證明它可以成為實際的遠端程式碼執行攻擊途徑。發現可疑程式錯誤，與證明攻擊者能利用它成功入侵，是兩回事。2238

漏洞細節在原定公開時間前外洩，令修補工作和對外應對都要加快。623 這次事件亦反映，當披露、確認問題和部署更新的時間被壓縮，保安工作很快就會變成營運上的難題。

修補版本、攻擊嘗試與已知情況

PHP 於 10 月 21 日發布的修補版本包括 8.2.35、8.3.36、8.4.27 和 8.5.12。管理員亦應查看主機或作業系統供應商的安全公告：部分供應商會以「回移修補」（backport）方式提供修正，因此版本號未必與 PHP 官方版本完全相同。439

多間保安公司在漏洞披露前後觀察到掃描或利用漏洞的嘗試；與 Cloudflare 有關的報道亦指嘗試數量急升。這些統計反映特定服務觀察到的請求或攻擊企圖，不能據此推算有多少系統已被入侵。536

各方對是否已確認成功利用漏洞的說法並不完全一致。BBC 截至 10 月 22 日報道，當時未有成功利用的報告；Beazley 較後的公告則表示，雖然有大規模攻擊嘗試的報告，但未掌握已確認的大規模入侵。Sansec 亦修訂評估，指大規模利用漏洞的可能性似乎低於最初預期。這些說法都有其發布時間背景，但不代表未修補的伺服器因此安全。7918

為何有服務暫時停運？

部分機構在評估受影響程度、準備更新期間，暫時關閉或限制服務。報道指英國政府曾令 32 項服務下線；一個服務狀態追蹤平台則記錄到，修補程式發布前，超過 100 項服務發布了停運、維護或 PHP2Shell 警告。這些措施反映緊急修補帶來的服務影響，本身並不能證明相關服務曾遭攻擊。2234

另有報道提及其他國家的政府及機構採取應對措施，但現有資料未能提供一份完整、經獨立核實的受影響服務名單，也未能確認每宗被點名的服務中斷。2025

網站營運者應該做甚麼？

1. 盤點所有 PHP 安裝。 不要只檢查主要網站；正式環境伺服器、容器、備用系統及代管服務都要納入。
2. 盡快安裝適用修補程式。 使用 PHP 修補版本，或供應商確認有效的回移修補；按需要重新啟動 PHP 工作程序或服務，並核實實際執行中的版本。只更新網站程式或外掛，不能取代 PHP 執行環境的修補。1439
3. 未能即時修補時，先減低暴露面。 按服務的對外風險及業務影響，考慮限制公眾存取或暫時停用服務。網絡防護規則只能作短期緩解措施，不能代替正式修補。
4. 檢查有沒有入侵跡象。 查看相關記錄，留意不尋常的檔案、程序或管理員帳戶。如懷疑系統已被入侵，應保留證據並進行調查；單是安裝修補程式，未必能處理已發生的入侵。
5. 向服務供應商確認修補範圍。 使用代管主機或管理服務的中小企，應要求供應商清楚確認所有相關 PHP 環境都已修補。

美國國家安全局（NSA）建議優先安裝關鍵修補，並表示正優先識別可能利用 PHP2Shell 的惡意行為者；聯邦調查局（FBI）亦呼籲機構更新 PHP。現有資料未能證明 FBI、NSA 和美國網絡安全暨基礎設施安全局（CISA）曾聯合發出一項命令，要求所有無法即時修補的機構關閉系統。1728

個人可以做甚麼？哪些事幫不到忙？

保持個人裝置、應用程式和路由器更新，並使用多重身份驗證及不重複的密碼，都是有用的基本保安習慣。不過，這些做法不能修補網站伺服器上的 PHP 漏洞；相關工作要由網站營運者或主機供應商處理。

PHP2Shell 帶出的實際教訓，是要迅速、確實地修補，並準備好應對更短的保安反應時間。事件確實令人關注漏洞研究與攻擊嘗試可能迅速發展，但不能把攻擊嘗試數字當成已確認的大規模入侵，更不應據此斷言整個網絡保安體系已經崩潰。

PHP2Shell 是兩個 PHP 核心漏洞的統稱：CVE-2026-109618 和 CVE-2026-109619。兩者在特定條件下都可能讓攻擊者毋須登入，便能在受影響伺服器執行程式碼，對仍未更新的系統構成嚴重風險。PHP 已於 2026 年 10 月 21 日發布修補版本；事件期間，部分機構亦曾預防性暫停服務。要留意，觀察到掃描或攻擊嘗試，並不代表已確認成功入侵。4718

PHP2Shell 漏洞是甚麼？

漏洞位於 PHP 本身，而非某一個網站外掛或應用程式。其中一個涉及記憶體耗盡時的處理，另一個涉及過時的全域狀態。在特定情況下，精心製作的網絡請求可能觸發遠端程式碼執行；其中一個漏洞亦可能令敏感的程序記憶體外洩。411

PHP 廣泛用於網站。有報道估計，全球最多約七成網站使用 PHP；但這不代表每個 PHP 網站都受影響，亦不代表風險一樣高。實際風險視乎 PHP 版本、設定，以及受影響程式路徑能否被外部請求觸及。4546

AI 協助發現，披露時間卻提早了

報道將發現及處理漏洞的工作歸功於 Wiz、Calif 和 OpenAI 的研究人員及團隊；部分報道亦形容 AI 參與了研究過程。不過，現有資料未能確立所有發現細節，例如是否先由研究人員將 WordPress 漏洞利用方式改寫至 Drupal，亦未能清楚說明每個 CVE 分別由哪個團隊發現。1445

據事件相關報道，底層記憶體處理問題早前曾被留意，但當時尚未證明它可以成為實際的遠端程式碼執行攻擊途徑。發現可疑程式錯誤，與證明攻擊者能利用它成功入侵，是兩回事。2238

漏洞細節在原定公開時間前外洩，令修補工作和對外應對都要加快。623 這次事件亦反映，當披露、確認問題和部署更新的時間被壓縮，保安工作很快就會變成營運上的難題。

修補版本、攻擊嘗試與已知情況

PHP 於 10 月 21 日發布的修補版本包括 8.2.35、8.3.36、8.4.27 和 8.5.12。管理員亦應查看主機或作業系統供應商的安全公告：部分供應商會以「回移修補」（backport）方式提供修正，因此版本號未必與 PHP 官方版本完全相同。439

多間保安公司在漏洞披露前後觀察到掃描或利用漏洞的嘗試；與 Cloudflare 有關的報道亦指嘗試數量急升。這些統計反映特定服務觀察到的請求或攻擊企圖，不能據此推算有多少系統已被入侵。536

各方對是否已確認成功利用漏洞的說法並不完全一致。BBC 截至 10 月 22 日報道，當時未有成功利用的報告；Beazley 較後的公告則表示，雖然有大規模攻擊嘗試的報告，但未掌握已確認的大規模入侵。Sansec 亦修訂評估，指大規模利用漏洞的可能性似乎低於最初預期。這些說法都有其發布時間背景，但不代表未修補的伺服器因此安全。7918

為何有服務暫時停運？

部分機構在評估受影響程度、準備更新期間，暫時關閉或限制服務。報道指英國政府曾令 32 項服務下線；一個服務狀態追蹤平台則記錄到，修補程式發布前，超過 100 項服務發布了停運、維護或 PHP2Shell 警告。這些措施反映緊急修補帶來的服務影響，本身並不能證明相關服務曾遭攻擊。2234

另有報道提及其他國家的政府及機構採取應對措施，但現有資料未能提供一份完整、經獨立核實的受影響服務名單，也未能確認每宗被點名的服務中斷。2025

網站營運者應該做甚麼？

1. 盤點所有 PHP 安裝。 不要只檢查主要網站；正式環境伺服器、容器、備用系統及代管服務都要納入。
2. 盡快安裝適用修補程式。 使用 PHP 修補版本，或供應商確認有效的回移修補；按需要重新啟動 PHP 工作程序或服務，並核實實際執行中的版本。只更新網站程式或外掛，不能取代 PHP 執行環境的修補。1439
3. 未能即時修補時，先減低暴露面。 按服務的對外風險及業務影響，考慮限制公眾存取或暫時停用服務。網絡防護規則只能作短期緩解措施，不能代替正式修補。
4. 檢查有沒有入侵跡象。 查看相關記錄，留意不尋常的檔案、程序或管理員帳戶。如懷疑系統已被入侵，應保留證據並進行調查；單是安裝修補程式，未必能處理已發生的入侵。
5. 向服務供應商確認修補範圍。 使用代管主機或管理服務的中小企，應要求供應商清楚確認所有相關 PHP 環境都已修補。

美國國家安全局（NSA）建議優先安裝關鍵修補，並表示正優先識別可能利用 PHP2Shell 的惡意行為者；聯邦調查局（FBI）亦呼籲機構更新 PHP。現有資料未能證明 FBI、NSA 和美國網絡安全暨基礎設施安全局（CISA）曾聯合發出一項命令，要求所有無法即時修補的機構關閉系統。1728

個人可以做甚麼？哪些事幫不到忙？

保持個人裝置、應用程式和路由器更新，並使用多重身份驗證及不重複的密碼，都是有用的基本保安習慣。不過，這些做法不能修補網站伺服器上的 PHP 漏洞；相關工作要由網站營運者或主機供應商處理。

PHP2Shell 帶出的實際教訓，是要迅速、確實地修補，並準備好應對更短的保安反應時間。事件確實令人關注漏洞研究與攻擊嘗試可能迅速發展，但不能把攻擊嘗試數字當成已確認的大規模入侵，更不應據此斷言整個網絡保安體系已經崩潰。