PHP2Shell 不只是一次嚴重的軟體安全事件，也提醒人們：要讓廣泛使用的軟體維持安全，需要持續投入維護工作。2026 年 10 月，PHP 兩項重大漏洞促使專案緊急發布修補程式；報導估計，PHP 的使用範圍涵蓋多達 70% 的網站。11 事件也讓一個更大的問題浮上檯面：支撐網路運作的開源專案，是否有足夠能力審查、修補並長期維護軟體？22

PHP2Shell 事件發生了什麼事

CVE-2026-109618 與 CVE-2026-109619 這兩項漏洞，可能讓未經驗證的攻擊者在受影響的 PHP 系統上遠端執行程式碼。報導指出，兩項漏洞的嚴重度評分均為 9.2。917 漏洞存在於 PHP 執行環境本身；發現漏洞，並不代表所有 PHP 應用程式都不安全。

PHP 於 2026 年 10 月 21 日發布修補版本：8.5.12、8.4.27、8.3.36 與 8.2.35。1827 Calif 的研究說明將漏洞發現歸功於 Calif、OpenAI 與 Wiz。15 報導也指出，協調漏洞揭露的流程出現爭議：PHP 維護者指稱 Chainguard 在原定發布前揭露資訊，專案因而提前發布修補程式。3537

PHP 的普及程度說明了為何這次更新如此急迫。新聞報導估計，PHP 用於多達 70% 的網站；但這是對使用比例的估算，不代表受漏洞影響或遭入侵的網站數量。11 現有來源也無法證實「EFF 估計截至 10 月 23 日仍有超過 3,300 萬套系統存在漏洞」這項具體說法。

有攻擊嘗試，不等於已確認遭入侵

據報導，Amazon 在公開修補程式發布前的 10 月 17 日偵測到一次利用漏洞的嘗試，之後也形容針對漏洞的攻擊活動相當廣泛。34 另有報導提到數百萬次攻擊嘗試。6 此外，報導記錄了一些機構為處理漏洞而採取的預防性關站措施，包括與日本財務省及荷蘭鹿特丹港相關的服務。12

但攻擊嘗試不等於已確認成功入侵。BBC 在 10 月 22 日報導稱，當時尚無成功利用漏洞的通報；Security Affairs 於 10 月 23 日也指出，成功利用仍未獲證實。931 這些報導可能涵蓋不同觀察時段，或對「利用」一詞採用不同定義。現有證據支持外界對攻擊活動保持警覺，但不足以得出數百萬套系統已遭成功入侵的結論。

開源安全的教訓：發現漏洞只是第一步

PHP2Shell 顯示，即使是成熟專案的核心軟體，也可能存在安全缺陷。發現問題只是整個流程的起點：修補程式需要審查和發布，使用者也要找出受影響的系統並完成更新。Sovereign Tech 明確指出，這起事件凸顯關鍵開源軟體安全工作面臨資金缺口。22

因此，安全維護能力才是核心課題，而不只是發現了多少漏洞。發現速度加快，可能增加維護者與防守方的工作量；但僅憑漏洞通報數量上升，不能證明軟體變得更不安全，也不能證明增加是由 AI 所造成。找到漏洞，不會自動補足驗證研究結果、協調揭露，或發布並部署可靠修補程式所需的人力。

審慎的結論並不是 PHP 天生不安全，而是廣泛應用於網路的軟體，需要持續接受安全檢視與維護；漏洞發現越快，這些工作就越顯迫切。1122

PHP 管理者現在可以怎麼做

使用 PHP 的組織可採取以下措施：

1. 盤點面向網際網路的部署。 找出哪些服務使用 PHP，並記錄實際執行中的版本。
2. 安裝適用的修補版本。 依目前使用的 PHP 分支更新；若執行環境由供應商封裝或維護，則遵循經確認的供應商指引。PHP 已於 10 月 21 日發布修補版本。1827
3. 確認服務實際載入更新。 更新後檢查執行中的服務與工作程序是否使用新版執行環境；已發布的作業指引也建議更新後重新啟動 PHP 工作程序。32
4. 精確描述事件狀態。 區分受影響系統、攻擊嘗試、確認遭入侵，以及尚未查證的說法。預防性關站或觀察到攻擊流量，都不能單獨證明系統已遭攻破。

PHP2Shell 留下的長遠教訓，是整條安全鏈都不可或缺：漏洞發現、修補審查、協調揭露、發布更新，以及實際部署。為這些工作提供持續資金，是保護關鍵開源基礎設施的一部分，而不是可有可無的額外支出。22

PHP2Shell 不只是一次嚴重的軟體安全事件，也提醒人們：要讓廣泛使用的軟體維持安全，需要持續投入維護工作。2026 年 10 月，PHP 兩項重大漏洞促使專案緊急發布修補程式；報導估計，PHP 的使用範圍涵蓋多達 70% 的網站。11 事件也讓一個更大的問題浮上檯面：支撐網路運作的開源專案，是否有足夠能力審查、修補並長期維護軟體？22

PHP2Shell 事件發生了什麼事

CVE-2026-109618 與 CVE-2026-109619 這兩項漏洞，可能讓未經驗證的攻擊者在受影響的 PHP 系統上遠端執行程式碼。報導指出，兩項漏洞的嚴重度評分均為 9.2。917 漏洞存在於 PHP 執行環境本身；發現漏洞，並不代表所有 PHP 應用程式都不安全。

PHP 於 2026 年 10 月 21 日發布修補版本：8.5.12、8.4.27、8.3.36 與 8.2.35。1827 Calif 的研究說明將漏洞發現歸功於 Calif、OpenAI 與 Wiz。15 報導也指出，協調漏洞揭露的流程出現爭議：PHP 維護者指稱 Chainguard 在原定發布前揭露資訊，專案因而提前發布修補程式。3537

PHP 的普及程度說明了為何這次更新如此急迫。新聞報導估計，PHP 用於多達 70% 的網站；但這是對使用比例的估算，不代表受漏洞影響或遭入侵的網站數量。11 現有來源也無法證實「EFF 估計截至 10 月 23 日仍有超過 3,300 萬套系統存在漏洞」這項具體說法。

有攻擊嘗試，不等於已確認遭入侵

據報導，Amazon 在公開修補程式發布前的 10 月 17 日偵測到一次利用漏洞的嘗試，之後也形容針對漏洞的攻擊活動相當廣泛。34 另有報導提到數百萬次攻擊嘗試。6 此外，報導記錄了一些機構為處理漏洞而採取的預防性關站措施，包括與日本財務省及荷蘭鹿特丹港相關的服務。12

但攻擊嘗試不等於已確認成功入侵。BBC 在 10 月 22 日報導稱，當時尚無成功利用漏洞的通報；Security Affairs 於 10 月 23 日也指出，成功利用仍未獲證實。931 這些報導可能涵蓋不同觀察時段，或對「利用」一詞採用不同定義。現有證據支持外界對攻擊活動保持警覺，但不足以得出數百萬套系統已遭成功入侵的結論。

開源安全的教訓：發現漏洞只是第一步

PHP2Shell 顯示，即使是成熟專案的核心軟體，也可能存在安全缺陷。發現問題只是整個流程的起點：修補程式需要審查和發布，使用者也要找出受影響的系統並完成更新。Sovereign Tech 明確指出，這起事件凸顯關鍵開源軟體安全工作面臨資金缺口。22

因此，安全維護能力才是核心課題，而不只是發現了多少漏洞。發現速度加快，可能增加維護者與防守方的工作量；但僅憑漏洞通報數量上升，不能證明軟體變得更不安全，也不能證明增加是由 AI 所造成。找到漏洞，不會自動補足驗證研究結果、協調揭露，或發布並部署可靠修補程式所需的人力。

審慎的結論並不是 PHP 天生不安全，而是廣泛應用於網路的軟體，需要持續接受安全檢視與維護；漏洞發現越快，這些工作就越顯迫切。1122

PHP 管理者現在可以怎麼做

使用 PHP 的組織可採取以下措施：

1. 盤點面向網際網路的部署。 找出哪些服務使用 PHP，並記錄實際執行中的版本。
2. 安裝適用的修補版本。 依目前使用的 PHP 分支更新；若執行環境由供應商封裝或維護，則遵循經確認的供應商指引。PHP 已於 10 月 21 日發布修補版本。1827
3. 確認服務實際載入更新。 更新後檢查執行中的服務與工作程序是否使用新版執行環境；已發布的作業指引也建議更新後重新啟動 PHP 工作程序。32
4. 精確描述事件狀態。 區分受影響系統、攻擊嘗試、確認遭入侵，以及尚未查證的說法。預防性關站或觀察到攻擊流量，都不能單獨證明系統已遭攻破。

PHP2Shell 留下的長遠教訓，是整條安全鏈都不可或缺：漏洞發現、修補審查、協調揭露、發布更新，以及實際部署。為這些工作提供持續資金，是保護關鍵開源基礎設施的一部分，而不是可有可無的額外支出。22