美國CISA：PHP重大漏洞須立即修補　無法更新者應先將系統下線

美國網路安全暨基礎設施安全局（CISA）美東時間10月21日中午12時45分發布警報「PHP 重大漏洞須立即修補」（Critical Vulnerabilities in PHP Require Immediate Patching），強烈呼籲各組織立即修補 CVE-2026-109618 與 CVE-2026-109619 兩個合稱「php2shell」的漏洞。

CISA 指出，這兩個漏洞可讓攻擊者未經身分驗證就遠端執行程式碼，影響所有提供網頁請求服務的 PHP 安裝環境。修補版本為 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。CISA 表示，截至警報發布時尚未觀察到漏洞遭利用，但未修補的系統仍處於風險中。

CISA 提醒，PHP 經常內嵌在其他軟體中，組織未必察覺自己在使用 PHP，因此應盤點所有執行任何版本 PHP 的系統。若無法立即更新，或仍在使用 PHP 8.1 以前已停止支援的版本，應先將以 PHP 為基礎的系統下線，直到完成修補或升級；網頁應用程式防火牆（WAF）在修補完成前可提供部分防護。

英國廣播公司（BBC）報導，美國國家安全局（NSA）也在社群平台 X 上建議，無法更新的組織應將系統下線，並指出「這些漏洞往往提供直達伺服器檔案系統或資料庫的路徑」；白宮則表示，聯邦機構正與主要 AI 實驗室合作，加快修補進度。

CISA 建議措施

• 盤點所有執行任何版本 PHP 的系統，包括內嵌 PHP 的軟體
• 立即套用修補，從對外開放的系統開始
• 無法立即更新或使用 PHP 8.1 以前版本者，將 PHP 系統下線直到修補或升級
• 修補完成前，可用網頁應用程式防火牆取得部分防護
• 參考 PHP 官方安全公告的修補指引
• 監控可疑活動，例如 PHP worker 程序啟動 shell 或下載工具

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• CISA：Critical Vulnerabilities in PHP Require Immediate Patching
• BBC：Websites taken down worldwide as critical cyber-security update issued

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各國資安機關公告及國際媒體報導整理，資訊更新至2026年10月22日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。