PHP爆「php2shell」重大漏洞 免登入即可遠端執行程式碼 官方籲立即升級
重點整理 【漏洞】CVE-2026-109618、CVE-2026-109619，CVSS v4.0 評分皆為 9.2，攻擊者不需登入即可能遠端執行程式碼 【範圍】所有對外提供網頁服務的 PHP，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed 【修補】請升級
2 小時前・報新聞
重點整理
報新聞/編輯部
PHP 官方在2026年10月21日釋出緊急安全更新，修補合稱「php2shell」的兩個重大漏洞 CVE-2026-109618 與 CVE-2026-109619。簡單說：只要網站跑在 PHP 上、而且 PHP 還沒升級到修補版本，就有被遠端入侵的風險，唯一完整的解法是升級 PHP。
以下整理網站管理者最常問的問題，包括受影響版本、如何檢查自己的 PHP 版本、無法立即升級時的暫時措施，以及升級後該做的事。本文會隨官方與資安機構的最新資訊持續更新。
最新消息：PHP爆「php2shell」重大漏洞 免登入即可遠端執行程式碼 官方籲立即升級
A：php2shell 是 PHP 兩個重大漏洞 CVE-2026-109618 與 CVE-2026-109619 的合稱，名稱意指攻擊者可藉此從 PHP 取得伺服器的命令列控制權（shell）。PHP 官方於2026年10月21日釋出修補，兩個漏洞的 CVSS v4.0 評分皆為 9.2 分。
A：CVE-2026-109618 是記憶體不足（OOM）的處理缺陷：PHP 在請求資料只初始化一半時被中斷，清理程序會把不完整的資料當成有效資料處理。CVE-2026-109619 是過期全域狀態造成的 use-after-free：某次請求的狀態在記憶體釋放後仍被保留，同一個 worker 處理下一個請求時可能誤用這塊記憶體，已確認可能造成記憶體內容外洩。
A：非常嚴重。PHP 官方表示，兩個漏洞都能被未經身分驗證的遠端攻擊者利用，可能導致遠端執行程式碼。在 Apache 搭配 mod_php 的環境中，已有示範性攻擊顯示，攻擊在任何網站程式碼執行之前就能觸發。
A：有攻擊嘗試。Cloudflare 表示已觀察到早期攻擊流量，資安公司 watchTowr 也觀察到利用嘗試。網路上已有號稱的攻擊程式流傳，但尚未經過驗證；PHP 安全團隊表示，發布修補當下並未發現可實際運作的攻擊程式。由於漏洞細節在修補前就已外流，建議以「隨時可能被攻擊」的態度處理。
A：兩個 CVE 編號在2026年10月20日就已在網路上流傳，PHP 官方同日發出預告，並於10月21日 UTC 14:00（台灣時間晚間10點）釋出修補。官方也表示，若細節公開或出現實際攻擊，保留提早發布的權利。
A：PHP 官方表示，所有提供網頁請求服務的 PHP 安裝環境都受影響，包括 PHP-FPM、Apache 搭配 mod_php、php-cgi、FrankenPHP 與 LiteSpeed，其中 mod_php 風險最高。資安業者 Tenable 引述研究團隊分析指出，受影響的程式碼最早可追溯到 PHP 5.4.0。
A：PHP 8.5 請升級至 8.5.12、8.4 升級至 8.4.27、8.3 升級至 8.3.36、8.2 升級至 8.2.35。各版本對照請見下表。
A：這三個版本官方已停止支援，不會有正式的修補版本，PHP 官方只提供最小範圍的原始碼修補給有能力自行編譯的人。PHP 7.3 以前的版本則完全沒有修補。最根本的做法是升級到仍受支援的 PHP 8.2 以上版本；若使用 Linux 發行版或商業長期支援方案，請查看該廠商的公告。
A：PHP 8.2 將於2026年12月31日停止支援，之後不再有安全修補。這次先升級到 8.2.35，同時應開始規劃升級到 8.3 以上版本。
| PHP 版本分支 | 修補版本 | 說明 |
|---|---|---|
| 8.5 | 8.5.12 | PHP 8.5 另建議關閉 fatal_error_backtraces |
| 8.4 | 8.4.27 | 官方支援中 |
| 8.3 | 8.3.36 | 官方支援中 |
| 8.2 | 8.2.35 | 2026年12月31日停止支援，之後不再有安全修補 |
| 7.4、8.0、8.1 | 無官方發行版 | 官方僅提供最小範圍的原始碼修補，建議盡快升級到受支援版本 |
| 7.3 以前 | 無 | 已停止支援，沒有修補，應升級到受支援版本 |
| 8.6.0 測試版 | RC4 已含修補 | 測試版不可用於正式環境 |
A：常見方法有四種：一、虛擬主機用戶可在 cPanel 等主機控制台的「PHP 版本」設定頁查看；二、WordPress 網站可到後台「工具」→「網站健康狀態」→「資訊」→「伺服器」查看 PHP 版本；三、有伺服器權限的人可在命令列執行 php -v，但命令列與網頁伺服器使用的 PHP 可能不是同一版，應以網頁環境為準；四、暫時放一個呼叫 phpinfo() 的頁面查看，看完務必立刻刪除，避免洩漏伺服器資訊。
A：不一定。Ubuntu、Debian、Red Hat 等發行版常把修補「向後移植」到既有版本號，版本號不會變成 8.3.36 這類官方編號。PHP 官方表示各發行版已事先取得修補，請以該發行版發布的安全公告與套件版本為準。
A：會。漏洞位於 PHP 本身，不在網站系統或外掛裡，所以只要底層 PHP 還沒升級，不論是 WordPress、Laravel 或其他 PHP 網站都在風險中。更新 WordPress 核心或外掛無法修補這次的漏洞。
A：共用虛擬主機的 PHP 通常由主機商管理，請直接向主機商確認是否已更新到修補版本。若主機控制台讓你自選 PHP 版本，請選擇已含修補的最新版本，並確認網站運作正常。
A：PHP 官方列出幾項只能「降低風險、不能保證安全」的設定：一、以無法被網站程式覆寫的方式設定 memory_limit=-1（例如 FPM 的 php_admin_value 或 Apache 設定），不要改用 RLIMIT_AS 或 RLIMIT_DATA；二、post_max_size 不需上傳功能時設為 8M、需要上傳時設為 32M，且 upload_max_filesize 要小於 post_max_size；三、在 php.ini、FPM pool 或伺服器設定中設定 session.upload_progress.enabled=0，不要依賴 ini_set() 或 .user.ini；四、PHP 8.5 另外設定 fatal_error_backtraces=0。改完後必須重新啟動所有 PHP worker 才會生效。
A：沒有用。PHP 官方指出，用 error_reporting、display_errors 或 @ 運算子隱藏錯誤無法緩解這次的漏洞；應移除會在初始化前輸出診斷資訊的逐請求設定。
A：會。這個設定會取消 PHP 的記憶體上限，可能讓單一請求吃掉大量記憶體。Tenable 建議可搭配容器或 cgroup 的記憶體限制維持服務穩定，但這同樣不是完整的防護。
A：不算安全。Cloudflare 已對所有客戶（包括免費方案）部署針對已知攻擊手法的防火牆規則，但官方自己也稱之為權宜之計，而且只保護經過 Cloudflare 的流量，直接連到主機的流量不受保護。歐盟資安機構 CERT-EU 也建議，在完成修補前先隔離對外開放的應用程式。
A：第一，重新啟動所有 PHP 服務與 worker，確保舊程序不再執行；第二，用網頁環境再次確認 PHP 版本；第三，檢查網站與伺服器是否有不明檔案、帳號或異常程序。若懷疑已遭入侵，應尋求資安專業協助，並更換伺服器、資料庫與網站後台的密碼和金鑰。
A：不是。wp2shell 是2026年7月公開的 WordPress 核心漏洞（CVE-2026-63030、CVE-2026-60137），已在 WordPress 7.0.2、6.9.5、6.8.6 修補；php2shell 則是 PHP 本身的漏洞。WordPress 網站需要同時確認 WordPress 已更新、PHP 也已升級。
A：截至 Tenable 整理時尚未列入。CISA 清單目前收錄的 PHP 漏洞包括2024年由台灣資安公司戴夫寇爾（DEVCORE）發現的 CVE-2024-4577、2019年的 CVE-2019-11043，以及2012年的 CVE-2012-1823，前兩者都曾被勒索軟體利用。
A：根據 Tenable 整理，攻擊鏈由 Calif.io 研究員 LCFR 開發，PHP 基金會致謝 Calif、OpenAI、Wiz 等團隊。Calif 與 Wiz 都表示研究過程中使用了 AI 模型。
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合 PHP 官方公告、CERT-EU 及國際資安業者公開資訊整理，資訊更新至2026年10月22日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。
PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
https://www.contentplatform.info/articles/543521
