PHP2Shell 是兩項 PHP 嚴重漏洞的統稱，編號為 CVE-2026-109618 和 CVE-2026-109619。兩者的 CVSS 評分皆為 9.2，可能讓未經驗證的攻擊者在 PHP 網頁伺服器上遠端執行程式碼。PHP 於 2026 年 10 月 21 日發布修補版本；而在此之前，Amazon 記錄到一筆日期為 10 月 17 日的攻擊嘗試，令事件應對更顯急迫。4524

PHP2Shell 漏洞會造成什麼影響？

這兩項漏洞都與 PHP 處理網頁請求時的記憶體管理有關。PHP 將 CVE-2026-109618 描述為請求清理期間發生的記憶體耗盡（out-of-memory）資料損毀問題；CVE-2026-109619 則涉及同一個工作程序處理後續請求時，重用了已過期的請求狀態。兩者都可能導致遠端程式碼執行。410

凡是用 PHP 處理網頁請求的部署都可能受到影響，包括使用 PHP-FPM、Apache 搭配 mod_php，以及其他列出的網頁服務設定。45 PHP 安全團隊表示，使用 mod_php 的風險最高。7

已修補的 PHP 版本

PHP 於 2026 年 10 月 21 日發布以下修補版本：4

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

管理者應依照所使用的 PHP 分支，升級至相應修補版本。由於漏洞影響所有處理網頁流量的 PHP 部署，盤點時應檢查每個對外提供網頁服務的環境，而不只是確認網站使用的框架或內容管理系統是否更新。45

有報導指出，漏洞資訊提前曝光，促使 PHP 將原訂 10 月 22 日發布的修補更新提前。現有報導並未確定究竟有哪些資訊外流、由誰披露，或資訊是如何傳播的。320

已知的攻擊活動，以及仍未確定的部分

Amazon Threat Intelligence 表示，其 MadPot 蜜罐在 10 月 17 日記錄到一筆漏洞利用嘗試，時間比 10 月 21 日公開揭露早了四天。Amazon 指出，該嘗試來自一個與商業匿名網路相關的 IP 位址，但目前仍不清楚攻擊者如何提前取得漏洞資訊。24

Cloudflare 表示，漏洞公開後，利用嘗試數量升至數百萬次。這些數字反映的是嘗試活動，不是已確認遭入侵網站的數量。1819 同樣地，蜜罐記錄到攻擊嘗試，代表有人鎖定相關漏洞，不等於攻擊者已成功入侵正式運作的伺服器。現有報導並未證實有多少正式環境遭到入侵，甚至未能確認是否有任何系統被攻破。2446

管理者現在應採取哪些措施？

1. 立即安裝對應 PHP 分支的修補版本。4
2. **回溯檢查 10 月 17 日起的活動。**Amazon 的蜜罐早在修補日之前就記錄到利用嘗試，因此調查時間不宜只從補丁發布當天開始。2446
3. **區分攻擊嘗試與已確認入侵。**嘗試次數可以顯示攻擊者正在探測漏洞，但不能單憑數字判定特定伺服器已遭成功執行程式碼。1824

目前最明確的應對方式，是更新所有受影響的 PHP 部署，並回溯調查 10 月 17 日以來的相關活動。大量利用嘗試凸顯修補的急迫性，但不應被誤讀為所有遭鎖定的伺服器都已失守。

PHP2Shell 是兩項 PHP 嚴重漏洞的統稱，編號為 CVE-2026-109618 和 CVE-2026-109619。兩者的 CVSS 評分皆為 9.2，可能讓未經驗證的攻擊者在 PHP 網頁伺服器上遠端執行程式碼。PHP 於 2026 年 10 月 21 日發布修補版本；而在此之前，Amazon 記錄到一筆日期為 10 月 17 日的攻擊嘗試，令事件應對更顯急迫。4524

PHP2Shell 漏洞會造成什麼影響？

這兩項漏洞都與 PHP 處理網頁請求時的記憶體管理有關。PHP 將 CVE-2026-109618 描述為請求清理期間發生的記憶體耗盡（out-of-memory）資料損毀問題；CVE-2026-109619 則涉及同一個工作程序處理後續請求時，重用了已過期的請求狀態。兩者都可能導致遠端程式碼執行。410

凡是用 PHP 處理網頁請求的部署都可能受到影響，包括使用 PHP-FPM、Apache 搭配 mod_php，以及其他列出的網頁服務設定。45 PHP 安全團隊表示，使用 mod_php 的風險最高。7

已修補的 PHP 版本

PHP 於 2026 年 10 月 21 日發布以下修補版本：4

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

管理者應依照所使用的 PHP 分支，升級至相應修補版本。由於漏洞影響所有處理網頁流量的 PHP 部署，盤點時應檢查每個對外提供網頁服務的環境，而不只是確認網站使用的框架或內容管理系統是否更新。45

有報導指出，漏洞資訊提前曝光，促使 PHP 將原訂 10 月 22 日發布的修補更新提前。現有報導並未確定究竟有哪些資訊外流、由誰披露，或資訊是如何傳播的。320

已知的攻擊活動，以及仍未確定的部分

Amazon Threat Intelligence 表示，其 MadPot 蜜罐在 10 月 17 日記錄到一筆漏洞利用嘗試，時間比 10 月 21 日公開揭露早了四天。Amazon 指出，該嘗試來自一個與商業匿名網路相關的 IP 位址，但目前仍不清楚攻擊者如何提前取得漏洞資訊。24

Cloudflare 表示，漏洞公開後，利用嘗試數量升至數百萬次。這些數字反映的是嘗試活動，不是已確認遭入侵網站的數量。1819 同樣地，蜜罐記錄到攻擊嘗試，代表有人鎖定相關漏洞，不等於攻擊者已成功入侵正式運作的伺服器。現有報導並未證實有多少正式環境遭到入侵，甚至未能確認是否有任何系統被攻破。2446

管理者現在應採取哪些措施？

1. 立即安裝對應 PHP 分支的修補版本。4
2. **回溯檢查 10 月 17 日起的活動。**Amazon 的蜜罐早在修補日之前就記錄到利用嘗試，因此調查時間不宜只從補丁發布當天開始。2446
3. **區分攻擊嘗試與已確認入侵。**嘗試次數可以顯示攻擊者正在探測漏洞，但不能單憑數字判定特定伺服器已遭成功執行程式碼。1824

目前最明確的應對方式，是更新所有受影響的 PHP 部署，並回溯調查 10 月 17 日以來的相關活動。大量利用嘗試凸顯修補的急迫性，但不應被誤讀為所有遭鎖定的伺服器都已失守。