PHP2Shell 是 PHP 核心執行環境中兩項嚴重漏洞的合稱：CVE-2026-109618 與 CVE-2026-109619。兩者的 CVSS v4.0 評分均為 9.2，可能讓未經驗證的攻擊者在有漏洞的伺服器上執行程式碼。PHP 專案已於 2026 年 10 月 21 日發布緊急修補版本。47

管理者眼前最重要的事，是更新 PHP。雖然已有攻擊嘗試的通報，包括 Amazon 在漏洞公開前於蜜罐系統觀察到的活動，但這些紀錄不等於攻擊者已入侵實際營運中的系統。4836

兩項 PHP2Shell 漏洞有何不同？

目前報告描述的漏洞機制各異：

• CVE-2026-109618 涉及記憶體不足（out-of-memory，OOM）處理。 PHP 遇到記憶體不足時，處理流程可能在請求內部資料尚未完整初始化前中斷；後續清理程序便可能把無效資料當成有效資料處理。58
• CVE-2026-109619 涉及過期的內部狀態。 報告指出，與請求相關的狀態可能在其所依附的記憶體釋放後仍然殘留，形成「釋放後使用」（use-after-free）問題。9

這些漏洞與 PHP 處理特製 HTTP 請求的方式有關，包含常用於檔案上傳的 multipart 表單資料。47 若攻擊成功，執行的程式碼會使用 Web 工作程序帳號的權限；這不代表攻擊者必然取得管理員或 root 權限。1

為什麼評為 9.2？這個分數又代表什麼？

兩項漏洞依 CVSS v4.0 均獲 10 分制 9.2 分，屬於「嚴重」。未經驗證的遠端程式碼執行是風險重點之一：攻擊者不必先登入，就能嘗試在受影響的伺服器上執行程式碼。47

目前提供的來源沒有列出完整 CVSS 向量，因此無法精確拆解各項評分條件如何得出 9.2。分數說明的是漏洞嚴重程度，不能單憑這個數字判斷特定伺服器遭攻擊的機率，也不能證明某次攻擊已成功。

受影響版本與修補版本

報告指出，受影響版本範圍可追溯至 PHP 5.4。55 PHP 8.x 各分支發布的緊急修補版本如下：

PHP 分支	修補版本
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

以上版本於 2026 年 10 月 21 日發布。請升級至所使用分支的修補版本，或該分支更新的版本。47

這份版本清單涵蓋 PHP 8.2 至 8.5。若系統使用更舊或已停止支援的分支，請向 PHP 發行套件或作業系統供應商查詢適用的修補程式與升級指引；不要假設表列版本可直接套用。

有攻擊嘗試，不等於已確認遭入侵

這兩項漏洞原訂於 10 月 22 日公開，相關資訊卻在 10 月 20 日提前曝光，PHP 隨後於 10 月 21 日發布緊急修補程式。842 來源支持「提前公開、修補提前發布」的說法，但無法證實 Calif 誤公開的示範影片是促成提前發布的原因。

Amazon 威脅情報團隊表示，其 MadPot 蜜罐遙測資料記錄到一筆 PHP2Shell 攻擊嘗試，時間為 10 月 17 日，比漏洞公開早四天。Amazon 也表示，在 10 月 21 日修補程式發布前後，發現了概念驗證（PoC）攻擊程式。蜜罐資料反映的是對誘餌系統的活動，並不代表真實組織已遭入侵。48

Cloudflare 表示已在漏洞公開前後部署防護；同期報導也提到安全廠商觀察到攻擊流量或嘗試。5535 不同來源對攻擊規模與成功情況的說法並不一致：有廠商聲稱已出現活躍或大規模利用，也有同期報導指出政府機關尚未確認成功攻擊。3336

現有證據足以支持盡快修補、嚴肅看待攻擊嘗試，但不足以把每次嘗試都視為成功入侵，或據此認定攻擊已大規模發生。評估風險與處理事件時，應區分「攻擊嘗試」、「可行的攻擊手法」和「已確認的實際入侵」。

修補期間可以怎麼做？

首要處置是安裝 PHP 修補版本。 AWS 指出，升級才是完整的修補方式。若暫時無法更新，可考慮封鎖 multipart 檔案上傳，以降低暴露程度；但這類措施不能取代升級。4748

加拿大網路安全中心發布了嚴重漏洞警示，說明漏洞可能讓未經驗證的攻擊者執行程式碼。2 另有報導指出，美國國家安全局（NSA）建議無法立即更新的系統先下線。27 若 PHP 隨產品附帶，或由託管服務商管理，請依部署方式參考相關供應商與政府機關的最新公告。

實務上，請先盤點哪些系統正在執行 PHP，為各系統套用適用的修補版本，並謹慎調查安全警示。PHP2Shell 的嚴重性確實值得立即處理，但攻擊嘗試、可運作的攻擊程式與確認的正式環境入侵，仍是不同層次的證據。

PHP2Shell 是 PHP 核心執行環境中兩項嚴重漏洞的合稱：CVE-2026-109618 與 CVE-2026-109619。兩者的 CVSS v4.0 評分均為 9.2，可能讓未經驗證的攻擊者在有漏洞的伺服器上執行程式碼。PHP 專案已於 2026 年 10 月 21 日發布緊急修補版本。47

管理者眼前最重要的事，是更新 PHP。雖然已有攻擊嘗試的通報，包括 Amazon 在漏洞公開前於蜜罐系統觀察到的活動，但這些紀錄不等於攻擊者已入侵實際營運中的系統。4836

兩項 PHP2Shell 漏洞有何不同？

目前報告描述的漏洞機制各異：

• CVE-2026-109618 涉及記憶體不足（out-of-memory，OOM）處理。 PHP 遇到記憶體不足時，處理流程可能在請求內部資料尚未完整初始化前中斷；後續清理程序便可能把無效資料當成有效資料處理。58
• CVE-2026-109619 涉及過期的內部狀態。 報告指出，與請求相關的狀態可能在其所依附的記憶體釋放後仍然殘留，形成「釋放後使用」（use-after-free）問題。9

這些漏洞與 PHP 處理特製 HTTP 請求的方式有關，包含常用於檔案上傳的 multipart 表單資料。47 若攻擊成功，執行的程式碼會使用 Web 工作程序帳號的權限；這不代表攻擊者必然取得管理員或 root 權限。1

為什麼評為 9.2？這個分數又代表什麼？

兩項漏洞依 CVSS v4.0 均獲 10 分制 9.2 分，屬於「嚴重」。未經驗證的遠端程式碼執行是風險重點之一：攻擊者不必先登入，就能嘗試在受影響的伺服器上執行程式碼。47

目前提供的來源沒有列出完整 CVSS 向量，因此無法精確拆解各項評分條件如何得出 9.2。分數說明的是漏洞嚴重程度，不能單憑這個數字判斷特定伺服器遭攻擊的機率，也不能證明某次攻擊已成功。

受影響版本與修補版本

報告指出，受影響版本範圍可追溯至 PHP 5.4。55 PHP 8.x 各分支發布的緊急修補版本如下：

PHP 分支	修補版本
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

以上版本於 2026 年 10 月 21 日發布。請升級至所使用分支的修補版本，或該分支更新的版本。47

這份版本清單涵蓋 PHP 8.2 至 8.5。若系統使用更舊或已停止支援的分支，請向 PHP 發行套件或作業系統供應商查詢適用的修補程式與升級指引；不要假設表列版本可直接套用。

有攻擊嘗試，不等於已確認遭入侵

這兩項漏洞原訂於 10 月 22 日公開，相關資訊卻在 10 月 20 日提前曝光，PHP 隨後於 10 月 21 日發布緊急修補程式。842 來源支持「提前公開、修補提前發布」的說法，但無法證實 Calif 誤公開的示範影片是促成提前發布的原因。

Amazon 威脅情報團隊表示，其 MadPot 蜜罐遙測資料記錄到一筆 PHP2Shell 攻擊嘗試，時間為 10 月 17 日，比漏洞公開早四天。Amazon 也表示，在 10 月 21 日修補程式發布前後，發現了概念驗證（PoC）攻擊程式。蜜罐資料反映的是對誘餌系統的活動，並不代表真實組織已遭入侵。48

Cloudflare 表示已在漏洞公開前後部署防護；同期報導也提到安全廠商觀察到攻擊流量或嘗試。5535 不同來源對攻擊規模與成功情況的說法並不一致：有廠商聲稱已出現活躍或大規模利用，也有同期報導指出政府機關尚未確認成功攻擊。3336

現有證據足以支持盡快修補、嚴肅看待攻擊嘗試，但不足以把每次嘗試都視為成功入侵，或據此認定攻擊已大規模發生。評估風險與處理事件時，應區分「攻擊嘗試」、「可行的攻擊手法」和「已確認的實際入侵」。

修補期間可以怎麼做？

首要處置是安裝 PHP 修補版本。 AWS 指出，升級才是完整的修補方式。若暫時無法更新，可考慮封鎖 multipart 檔案上傳，以降低暴露程度；但這類措施不能取代升級。4748

加拿大網路安全中心發布了嚴重漏洞警示，說明漏洞可能讓未經驗證的攻擊者執行程式碼。2 另有報導指出，美國國家安全局（NSA）建議無法立即更新的系統先下線。27 若 PHP 隨產品附帶，或由託管服務商管理，請依部署方式參考相關供應商與政府機關的最新公告。

實務上，請先盤點哪些系統正在執行 PHP，為各系統套用適用的修補版本，並謹慎調查安全警示。PHP2Shell 的嚴重性確實值得立即處理，但攻擊嘗試、可運作的攻擊程式與確認的正式環境入侵，仍是不同層次的證據。