PHP2Shell 是兩項 PHP 執行環境重大漏洞的統稱：CVE-2026-109618 與 CVE-2026-109619。在特定條件下，未經身分驗證的攻擊者可能利用漏洞在伺服器執行程式碼。PHP 已於 2026 年 10 月 21 日發布修補版本；管理者應更新實際處理網頁請求的 PHP 執行環境，並確認更新已套用至正在運作的服務。536

兩項漏洞有何不同？

這些問題出在 PHP 本身的記憶體管理，而非某個網站應用程式的特定程式碼。研究指出，漏洞牽涉已釋放或過期記憶體的處理方式。69

• CVE-2026-109618：與 PHP 上傳進度處理中的 use-after-free（釋放後使用）有關。Wiz 指出，在展示的條件下，漏洞可能讓攻擊者讀取 PHP 工作程序的記憶體，並進一步造成記憶體破壞與程式碼執行。6
• CVE-2026-109619：涉及致命錯誤回溯與 OPcache 的記憶體處理。PHP 公告說明，工作程序可能留下過期的內部狀態，之後由同一工作程序處理的請求可能再次使用它。36

兩項漏洞在報導中均獲 CVSS 9.2 分的嚴重度評級。237 Wiz 曾以「約七成網際網路使用 PHP」描述其普及程度；這是對 PHP 使用範圍的估計，並不代表七成網站都以相同方式受影響，更不代表這些網站已遭入侵。6

哪些版本需要留意？修補版有哪些？

報導指出，受影響範圍涵蓋 PHP 5.4 至 8.5.11。56 PHP 公布的修補版本為 8.2.35、8.3.36、8.4.27 與 8.5.12。36

若系統仍使用較舊或已停止支援的版本，請向 PHP 發行套件的維護者或產品廠商確認可用的更新或回溯修補，不要假設一定能直接安裝一般版本升級。1754

也別只檢查單獨安裝的 PHP 套件：網站、設備或其他產品可能另有內嵌執行環境。請先確認哪一套 PHP 正在處理網頁請求；若產品內含 PHP，則依照該產品廠商的修補指引處理。554

AI 協助發現，但研究時間線說法不一

研究成果歸功於 Calif、OpenAI 與 Wiz，相關報導提及研究過程曾使用 AI 模型協助。416 至於研究何時開始，各報導說法不盡相同：USA Today 稱 Calif 在 7 月首先發現問題，Wiz 在 8 月獨立發現；The Register 則將研究時間描述為 8 月至 9 月。447 另有報導提及 Google 模型，但目前資料不足以確認各模型的具體貢獻，或研究工作有多少部分由模型自主完成。50

因此，現有證據支持「AI 協助研究」，但不能據此說 AI 單獨發現、驗證並修復了兩項漏洞；報導中也包含研究人員與維護者的工作。416

PAN-OS 公告代表什麼？

Palo Alto Networks 已發布公告，說明兩項 PHP 漏洞對其產品的影響，列出的產品家族包括 PAN-OS。3435 不過，這不等於每一套 PAN-OS 安裝都暴露於與 PHP 網頁伺服器相同的攻擊途徑；實際風險須看產品配置及廠商提供的修補方式。

管理者應查閱 Palo Alto Networks 的最新公告，確認自己使用的產品與軟體版本狀態，並依照官方指示更新。不要把第三方追蹤表列出的預估時程當成修補已正式發布的證明；其中一份流傳的追蹤表也明確註明，廠商狀態由 AI 產生，使用前需自行核實。21

有攻擊嘗試，不等於已確認遭入侵

威脅情報報告提到，有攻擊嘗試記錄在 10 月 17 日，早於 10 月 21 日的公開技術揭露與 PHP 修補版發布。53 Nextgov 引述 Cloudflare 的說法指出，觀察到的請求量從數千次升至數百萬次。22 這些數字代表攻擊嘗試，不是成功控制伺服器的數量。

對於是否已有成功利用，報導曾出現不同說法。BBC 在 10 月 22 日報導，當時尚無成功利用的通報。18 Palo Alto Networks 的 Unit 42 之後表示，無法確認先前認為與 PHP2Shell 有關的活動，是否由這兩項特定 CVE 引起，並撤回先前更新。30 因此，現有資料可確認有攻擊嘗試的報告，但 PHP2Shell 是否已造成可確認的成功入侵，仍不明朗。

有報導指出，政府與企業曾在準備或套用修補期間，暫時停止部分線上服務。2651 預防性下線本身並不能證明相關機構已遭入侵。

組織與網站管理者可採取的行動

1. 盤點所有 PHP 執行環境。 檢查網站、應用程式伺服器、容器、託管環境及各類設備；使用代管服務的話，請服務商確認實際執行版本與適用修補方式。
2. 套用已核實的更新。 升級至修補版，或安裝含有相關修正的廠商套件。若設備或產品內含 PHP，依產品廠商指示更新。173654
3. 確認線上服務已載入修補。 不要只確認命令列安裝版本；還要確認對外處理網頁請求的執行環境已更新，並確認必要的服務或工作程序已重新載入修補版。
4. 無法及時修補時，先降低曝險。 NSA 建議優先套用廠商修補；若無法立即更新，應將系統下線，直到可以妥善處理。17 報導也指出，FBI 與 CISA 曾與其他美國機關一同呼籲組織儘速處理漏洞。25
5. 修補與入侵調查分開進行。 更新可以修補漏洞，但不能證明先前沒有遭入侵。如有可疑跡象，應另外檢查相關紀錄與系統活動。

如果你有網站，但不負責管理伺服器，請聯絡主機商或管理者，確認 PHP 執行環境是否已更新。不要安裝來路不明訊息提供的修補檔，應使用服務商的官方指引。

判斷風險時，請分清楚三件事：系統存在漏洞、有人嘗試利用漏洞，以及系統確實遭到入侵。先修補受影響的執行環境；使用 PAN-OS 等產品的組織，應向廠商確認適用修補方式；若懷疑曾遭入侵，則另行調查。

PHP2Shell 是兩項 PHP 執行環境重大漏洞的統稱：CVE-2026-109618 與 CVE-2026-109619。在特定條件下，未經身分驗證的攻擊者可能利用漏洞在伺服器執行程式碼。PHP 已於 2026 年 10 月 21 日發布修補版本；管理者應更新實際處理網頁請求的 PHP 執行環境，並確認更新已套用至正在運作的服務。536

兩項漏洞有何不同？

這些問題出在 PHP 本身的記憶體管理，而非某個網站應用程式的特定程式碼。研究指出，漏洞牽涉已釋放或過期記憶體的處理方式。69

• CVE-2026-109618：與 PHP 上傳進度處理中的 use-after-free（釋放後使用）有關。Wiz 指出，在展示的條件下，漏洞可能讓攻擊者讀取 PHP 工作程序的記憶體，並進一步造成記憶體破壞與程式碼執行。6
• CVE-2026-109619：涉及致命錯誤回溯與 OPcache 的記憶體處理。PHP 公告說明，工作程序可能留下過期的內部狀態，之後由同一工作程序處理的請求可能再次使用它。36

兩項漏洞在報導中均獲 CVSS 9.2 分的嚴重度評級。237 Wiz 曾以「約七成網際網路使用 PHP」描述其普及程度；這是對 PHP 使用範圍的估計，並不代表七成網站都以相同方式受影響，更不代表這些網站已遭入侵。6

哪些版本需要留意？修補版有哪些？

報導指出，受影響範圍涵蓋 PHP 5.4 至 8.5.11。56 PHP 公布的修補版本為 8.2.35、8.3.36、8.4.27 與 8.5.12。36

若系統仍使用較舊或已停止支援的版本，請向 PHP 發行套件的維護者或產品廠商確認可用的更新或回溯修補，不要假設一定能直接安裝一般版本升級。1754

也別只檢查單獨安裝的 PHP 套件：網站、設備或其他產品可能另有內嵌執行環境。請先確認哪一套 PHP 正在處理網頁請求；若產品內含 PHP，則依照該產品廠商的修補指引處理。554

AI 協助發現，但研究時間線說法不一

研究成果歸功於 Calif、OpenAI 與 Wiz，相關報導提及研究過程曾使用 AI 模型協助。416 至於研究何時開始，各報導說法不盡相同：USA Today 稱 Calif 在 7 月首先發現問題，Wiz 在 8 月獨立發現；The Register 則將研究時間描述為 8 月至 9 月。447 另有報導提及 Google 模型，但目前資料不足以確認各模型的具體貢獻，或研究工作有多少部分由模型自主完成。50

因此，現有證據支持「AI 協助研究」，但不能據此說 AI 單獨發現、驗證並修復了兩項漏洞；報導中也包含研究人員與維護者的工作。416

PAN-OS 公告代表什麼？

Palo Alto Networks 已發布公告，說明兩項 PHP 漏洞對其產品的影響，列出的產品家族包括 PAN-OS。3435 不過，這不等於每一套 PAN-OS 安裝都暴露於與 PHP 網頁伺服器相同的攻擊途徑；實際風險須看產品配置及廠商提供的修補方式。

管理者應查閱 Palo Alto Networks 的最新公告，確認自己使用的產品與軟體版本狀態，並依照官方指示更新。不要把第三方追蹤表列出的預估時程當成修補已正式發布的證明；其中一份流傳的追蹤表也明確註明，廠商狀態由 AI 產生，使用前需自行核實。21

有攻擊嘗試，不等於已確認遭入侵

威脅情報報告提到，有攻擊嘗試記錄在 10 月 17 日，早於 10 月 21 日的公開技術揭露與 PHP 修補版發布。53 Nextgov 引述 Cloudflare 的說法指出，觀察到的請求量從數千次升至數百萬次。22 這些數字代表攻擊嘗試，不是成功控制伺服器的數量。

對於是否已有成功利用，報導曾出現不同說法。BBC 在 10 月 22 日報導，當時尚無成功利用的通報。18 Palo Alto Networks 的 Unit 42 之後表示，無法確認先前認為與 PHP2Shell 有關的活動，是否由這兩項特定 CVE 引起，並撤回先前更新。30 因此，現有資料可確認有攻擊嘗試的報告，但 PHP2Shell 是否已造成可確認的成功入侵，仍不明朗。

有報導指出，政府與企業曾在準備或套用修補期間，暫時停止部分線上服務。2651 預防性下線本身並不能證明相關機構已遭入侵。

組織與網站管理者可採取的行動

1. 盤點所有 PHP 執行環境。 檢查網站、應用程式伺服器、容器、託管環境及各類設備；使用代管服務的話，請服務商確認實際執行版本與適用修補方式。
2. 套用已核實的更新。 升級至修補版，或安裝含有相關修正的廠商套件。若設備或產品內含 PHP，依產品廠商指示更新。173654
3. 確認線上服務已載入修補。 不要只確認命令列安裝版本；還要確認對外處理網頁請求的執行環境已更新，並確認必要的服務或工作程序已重新載入修補版。
4. 無法及時修補時，先降低曝險。 NSA 建議優先套用廠商修補；若無法立即更新，應將系統下線，直到可以妥善處理。17 報導也指出，FBI 與 CISA 曾與其他美國機關一同呼籲組織儘速處理漏洞。25
5. 修補與入侵調查分開進行。 更新可以修補漏洞，但不能證明先前沒有遭入侵。如有可疑跡象，應另外檢查相關紀錄與系統活動。

如果你有網站，但不負責管理伺服器，請聯絡主機商或管理者，確認 PHP 執行環境是否已更新。不要安裝來路不明訊息提供的修補檔，應使用服務商的官方指引。

判斷風險時，請分清楚三件事：系統存在漏洞、有人嘗試利用漏洞，以及系統確實遭到入侵。先修補受影響的執行環境；使用 PAN-OS 等產品的組織，應向廠商確認適用修補方式；若懷疑曾遭入侵，則另行調查。