PHP已發布緊急安全更新，修補兩個可能讓攻擊者在無須登入的情況下於網頁伺服器上執行惡意程式碼的重大漏洞。

這兩個漏洞編號為CVE-2026-109618與CVE-2026-109619，合稱PHP2Shell，位於PHP本身——也就是WordPress、Drupal與Joomla等網站與應用程式背後的程式語言。兩項漏洞在通用漏洞評分系統（CVSS）中均獲得滿分10分中的9.2分，屬於重大等級。

什麼是PHP2Shell？

PHP運行於網頁伺服器上，負責處理訪客請求、從資料庫提取資訊、處理表單並建立頁面。據資安公司Qualys表示，PHP2Shell包含兩個與語言處理記憶體及網頁請求狀態方式相關的錯誤。漏洞位於PHP本身，而非WordPress、Drupal或Joomla。

WordPress在一則X貼文中表示，這些漏洞影響任何託管PHP應用程式的伺服器，且不需要也未計畫發布WordPress更新。由於伺服器上的每個應用程式都依賴同一個運行環境，修補一個PHP即可為所有應用程式堵住缺口——反之，只要一個運行環境未修補，即使應用程式與外掛再新，所有應用程式都會暴露於風險之中。

第一個漏洞CVE-2026-109618出現在PHP於請求處理中途記憶體耗盡、導致資料處於半初始化狀態時。第二個漏洞CVE-2026-109619則發生在PHP持續引用請求資料，但其背後的記憶體已被釋放的情況下。

回報這些漏洞的公司之一Wiz表示，已示範可在登入前的WordPress與Drupal網站上執行程式碼的攻擊。該公司補充，其中一個還可洩漏執行中PHP處理程序的記憶體。攻擊者無須帳戶，後續結果取決於伺服器的設定與受侵害PHP處理程序所擁有的權限。

誰會受到影響？

PHP在公告中指出，任何處理網頁請求的安裝都有風險，包括PHP-FPM、搭配mod_php的Apache、php-cgi、FrankenPHP與LiteSpeed。該專案表示，搭配Apache的mod_php風險最高，並指出已示範的攻擊可讓未經驗證的請求在任何應用程式碼執行前觸發攻擊——意味著觸發條件不依賴託管網站自身程式碼的任何弱點。\nWiz表示，受影響版本可回溯至PHP 5.4——涵蓋長期運作的舊版伺服器。修補版本為PHP 8.5.12、8.4.27、8.3.36與8.2.35。PHP 8.1及更舊版本已不再獲得該專案的更新，但PHP為自行編譯或無廠商支援的使用者提供7.4、8.0與8.1的最低限度原始碼向後移植。

PHP也表示，8.2將於今年年底停止安全性修補，該分支的使用者應規劃升級。部分Linux發行版與廠商可能會將修補向後移植至較舊版本；管理員應查看其安全公告，若無可用修補，則應規劃遷移至受支援的版本。自行捆綁PHP的產品、容器與主機管理面板則需要個別更新。

據資安公司Huntress表示，漏洞細節在預定揭露前一天已在網路上外洩。PHP因此提前發布，於10月21日公開修補程式。

另一家資安公司Sansec表示，隨著修補程式與技術分析公開，預期將出現大規模攻擊。該公司指出，Cloudflare已回報早期攻擊。在技術細節已公開且攻擊已有紀錄的情況下，防禦者最需立即關注的是針對尚未更新伺服器的攻擊嘗試。

如何應對

更新WordPress、Drupal、Joomla或外掛無法修補PHP本身的漏洞。管理員可以採取以下步驟：

**更新PHP。**透過套件管理器安裝修補版本，然後確認網頁伺服器正在使用該版本。WordPress使用者可在 Tools > Site Health > Info > Server 下查看版本，許多主機也會在其控制面板中顯示。

**檢查每個安裝。**檢視容器、控制面板以及任何自行捆綁PHP的應用程式。

**詢問主機。**在共享主機環境下，PHP可能不在營運者的控制範圍內。詢問供應商是否已完成修補，且不應擅自假設已完成。WordPress表示主機商可能已在修補並新增防火牆規則，但仍建議向主機商確認。

**留意你的套件庫。**Sansec警告，PHP伺服器常用的Remi套件庫在發布當日尚未提供修補，並建議使用發行版的套件或自行從原始碼編譯。

**緩解措施僅作為權宜之計。**PHP表示沒有完整的緩解措施，更新是唯一安全的選擇。限制請求大小、關閉上傳追蹤等措施無法使安裝環境安全。

**檢查是否已遭入侵。**留意由PHP啟動的異常處理程序、不熟悉的檔案與異常的對外連線。修補無法移除已植入的惡意軟體。

一般訪客無法修補這些漏洞，因為問題出在伺服器而非手機或筆電。這並不代表每個PHP網站都已被駭，但更新至修補版本是唯一完整的解決方案。