PHP2Shell：PHP 於 2026 年 10 月修補兩個可遠端執行程式碼的嚴重漏洞
2026年10月21日，PHP 項目公布安全更新，修補兩個合稱 PHP2Shell 的嚴重漏洞。未經驗證的遠端攻擊者有可能藉此在伺服器上執行程式碼；PHP 寫明更新才是穩妥做法。
PHP 公布的內容
2026年10月21日，PHP 項目公布安全更新，修補兩個嚴重漏洞（CVE-2026-109618 及 CVE-2026-109619），合稱 PHP2Shell。PHP 表示，未經驗證的遠端攻擊者有可能藉此在伺服器上執行程式碼；受影響的是處理網站請求的 PHP 環境，包括 PHP-FPM、Apache 的 mod_php（PHP 認為此配置風險較高）、php-cgi、FrankenPHP 及 LiteSpeed。PHP 同時寫明，沒有完整的權宜防護，更新才是穩妥做法。
已修補的版本
已修補版本為 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35。PHP 8.1 或更舊版本已不再由 PHP 項目提供更新，部分發行版或長期支援供應商或會提供向後移植的修補，須向供應商查證，或升級至仍受支援的版本。
CISA 與 HKCERT 的說明
美國網絡安全及基礎設施安全局（CISA）於同日發出警示，其後在 10 月 26 日將這兩個漏洞列入已知被利用漏洞目錄（KEV）。香港網絡安全事故協調中心（HKCERT）亦於 10 月 22 日發出極高度風險保安公告，並提醒機構立即為受影響系統套用修補；HKCERT 亦指出，除一般網站伺服器外，部分應用程式、網絡或保安設備的管理介面亦可能內嵌 PHP，盤點時不宜只看主網站所顯示的版本。
對中小企的意義
若公司網站、電郵網頁、客戶系統或辦公室設備使用 PHP（包括以 PHP 建立的內容管理系統網站），應向網站託管或系統負責方確認現時 PHP 版本，並盡快更新至已修補版本。
資料來源
以上內容根據公開報道及官方公布整理，只供一般參考，並非法律意見。如需就公司本身的系統或保安安排查詢，歡迎聯絡我們。
相關服務
歡迎說明您目前遇到的情況
您可以致電、使用 WhatsApp，或使用聯絡表格提交查詢。我們會了解情況後，建議合適的處理方法。