世新大學與全南大學深化交流 智財座談討論AI專利實務
(中央社訊息服務20261022 11:06:24)當學生把AI專利、綠色商標與跨域學習搬上台，國際交流才真正有了溫度與內容。世新大學法律學系與韓國全南國立大學智慧財產整合學系10月1日舉行學術研習座談會暨MOU合作意向書簽署。這場交流的亮點，不只在合作成形，更在於兩校學生直接以學習經驗、專業觀察與研究成果對話，讓智慧
5 小時前・中央社
重點整理
全球網站最普遍使用的伺服器端程式語言 PHP，10月21日釋出緊急安全更新，修補兩個被稱為「php2shell」的重大漏洞（CVE-2026-109618、CVE-2026-109619）。PHP 官方指出，兩個漏洞的 CVSS v4.0 評分都是 9.2 分，攻擊者不需經過身分驗證，就可能在遠端伺服器上執行任意程式碼，呼籲所有使用者立即更新。
根據 PHP 官方安全公告，CVE-2026-109618 出在記憶體不足（OOM）的處理流程：PHP 在請求資料只初始化一半時被中斷，後續的清理程序會把這些不完整的資料當成有效資料處理。CVE-2026-109619 則是「過期全域狀態」問題，屬於某次請求的狀態在記憶體釋放後仍被保留，同一個 worker 處理下一個請求時，可能誤用已經釋放的記憶體（use-after-free）。
官方表示，所有提供網頁請求服務的 PHP 安裝環境都在影響範圍內，包括 PHP-FPM、Apache 搭配 mod_php、php-cgi、FrankenPHP 與 LiteSpeed。其中以 mod_php 風險最高，已有示範性攻擊顯示，未經驗證的請求在任何應用程式碼執行之前就能觸發攻擊。資安業者 Tenable 引述研究團隊的分析指出，受影響的程式碼路徑最早可追溯到 PHP 5.4.0。
PHP 官方已釋出 8.5.12、8.4.27、8.3.36 與 8.2.35 四個修補版本。PHP 8.1 及更舊版本官方已不再提供更新，僅針對 7.4、8.0、8.1 提供最小範圍的原始碼修補；各 Linux 發行版與長期支援（LTS）廠商則已事先取得修補。官方在發布說明中強調，目前沒有完整的緩解措施，升級是唯一安全的選擇。
這次修補原訂台灣時間10月21日晚間10點（UTC 14:00）發布，但兩個 CVE 編號在10月20日就已在網路上流傳，PHP 官方同日發出預告。攻擊方面，Cloudflare 表示已觀察到早期攻擊流量，並對所有客戶、包括免費方案，部署防火牆（WAF）規則；資安公司 watchTowr 也重現了兩個漏洞並觀察到利用嘗試。網路上雖已有號稱的攻擊程式流傳，但尚未經過驗證，PHP 安全團隊表示，發布當下並未發現可實際運作的攻擊程式。
PHP 的使用範圍極廣，WordPress、Laravel 等常見網站系統都建立在 PHP 之上。Palo Alto Networks 旗下 Cortex Xpanse 統計，全球約有 2,260 萬個可能受影響、暴露在網路上的 PHP 實例。由於漏洞位於 PHP 本身，只更新網站系統或外掛無法修補，必須升級伺服器上的 PHP。
根據 Tenable 整理，這組攻擊鏈由 Calif.io 研究員 LCFR 開發，PHP 基金會則致謝 Calif、OpenAI、Wiz 等團隊；Calif 與 Wiz 都表示研究過程中使用了 AI 模型。
PHP 過去的重大漏洞曾被勒索軟體集團利用，例如2024年由台灣資安公司戴夫寇爾（DEVCORE）發現的 PHP-CGI 漏洞 CVE-2024-4577，以及2019年的 PHP-FPM 漏洞 CVE-2019-11043，都已列入美國網路安全暨基礎設施安全局（CISA）的已遭利用漏洞清單。截至 Tenable 整理時，這次的兩個新漏洞尚未列入該清單。
資安專家建議，自行管理伺服器的網站管理者應盡快升級 PHP 並重新啟動所有 PHP 服務；使用虛擬主機的網站，則應向主機商確認 PHP 是否已更新到修補版本。
完整檢查與修補步驟：php2shell 是什麼？受影響版本、檢查方式與修補步驟一次看
| PHP 版本分支 | 修補版本 | 說明 |
|---|---|---|
| 8.5 | 8.5.12 | PHP 8.5 另建議關閉 fatal_error_backtraces |
| 8.4 | 8.4.27 | 官方支援中 |
| 8.3 | 8.3.36 | 官方支援中 |
| 8.2 | 8.2.35 | 2026年12月31日停止支援，之後不再有安全修補 |
| 7.4、8.0、8.1 | 無官方發行版 | 官方僅提供最小範圍的原始碼修補，建議盡快升級到受支援版本 |
| 7.3 以前 | 無 | 已停止支援，沒有修補，應升級到受支援版本 |
| 8.6.0 測試版 | RC4 已含修補 | 測試版不可用於正式環境 |
A：php2shell 是 PHP 在2026年10月修補的兩個重大漏洞 CVE-2026-109618 與 CVE-2026-109619 的合稱，CVSS v4.0 評分皆為 9.2，攻擊者不需登入就可能在伺服器上遠端執行程式碼。
A：請依使用中的版本升級至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；PHP 8.1 以前的版本官方已不提供正式更新，應盡快升級到受支援版本。
A：不夠。漏洞位於 PHP 本身，必須升級伺服器上的 PHP；使用虛擬主機的網站請向主機商確認 PHP 是否已更新。
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合 PHP 官方公告、CERT-EU 及國際資安業者公開資訊整理，資訊更新至2026年10月22日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。
PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
https://www.contentplatform.info/articles/543521
