在「黑色十月」（Black October）一系列重大漏洞揭露與資安事件之後，全球資安團隊正重新盤點風險。事件核心是 PHP2Shell：PHP 程式語言中的兩個嚴重漏洞。PHP 是支撐全球約七成網站的技術，研究人員在人工智慧協助下發現這些漏洞，多國政府也為了修補而暫時將網站下線。

PHP 基金會於 10 月 21 日（星期三）公開 CVE-2026-109618 與 CVE-2026-109619。兩者的 CVSS 風險評分皆為 9.2，攻擊者無須登入即可在伺服器上執行程式碼。修補版本為 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。美國網路安全暨基礎設施安全局（CISA）建議，無法立即更新的組織應在修補前將 PHP 系統離線。

背景說明：什麼是 PHP2Shell？

PHP 是一種伺服器端程式語言，廣泛用於 WordPress、Drupal、Joomla 等內容管理系統，以及大量政府、企業與電商網站。所謂「遠端程式碼執行」（Remote Code Execution, RCE），是指攻擊者不必取得帳號或密碼，只要能透過網路向伺服器送出特製 HTTP 請求，就能讓伺服器執行攻擊者指定的指令。

PHP2Shell 並非單一漏洞，而是兩個 PHP 核心記憶體管理缺陷的合稱：

• CVE-2026-109618：PHP 在處理記憶體不足（out-of-memory）情況時，控制流程與記憶體清理出現問題，攻擊者可藉此取得遠端程式碼執行能力。
• CVE-2026-109619：PHP 在同一個 worker 處理多個請求時，可能重複使用帶有舊請求狀態的全域資料，造成可被利用的程式碼執行條件。

受影響的部署方式包括 Apache 的 mod_php、PHP-FPM、php-cgi、FrankenPHP 與 LiteSpeed；PHP 官方將 mod_php 視為風險最高的部署情境。 一旦成功入侵，攻擊者可能竄改網頁、建立管理員帳號、讀取資料庫中的客戶資料，或使網站下線。

各國政府網站熄燈

荷蘭、加拿大、法國、德國、芬蘭、比利時與捷克等多國政府網站作為預防措施而下線。英國科技部長 Effra 女男爵在國會上議院表示，共有 32 項政府服務無法使用。尼泊爾則將數千個政府與銀行網站暫時關閉，多數在 10 月下旬恢復上線。

這次修補程序本身也被迫提前。由於漏洞資訊外洩，PHP 安全團隊比原定時間提前一天發布修補程式。Amazon 情資團隊指出，早在修補程式發布前四天，攻擊者就已開始探測存在漏洞的伺服器。

目前尚未出現類似 2021 年 Log4Shell 事件那樣的大規模自動化攻擊。原因在於 PHP2Shell 的利用程式必須依據不同 PHP 版本與伺服器設定加以調整，因此難以廣泛自動化。不過，針對性攻擊仍已成功：攻擊者將 PHP2Shell 與名為「Fragnesia」的 Linux 核心漏洞結合，取得完整 root 權限，並入侵 25 台 Palo Alto Networks 防火牆與管理伺服器。

「黑色十月」的教訓

「黑色十月」還包括 Node.js、GitLab 與 Brotli 壓縮函式庫的漏洞、針對 LiteLLM 的供應鏈攻擊，以及 eMudhra 憑證授權單位金鑰遭入侵等事件。Cybersecurity Insiders 的分析呼籲組織重新檢視先前被列為低優先的漏洞，因為人工智慧已大幅降低利用這些漏洞所需的技術門檻。該分析也建議組織演練完整的資安事件應變流程，涵蓋遏制、復原與後續調查。

開源維護者的壓力

開源軟體維護者表示，人工智慧發現漏洞的速度，已超過由志工維運的專案所能修補的速度。OpenUK 執行長 Amanda Brock 表示：「以現有資源，根本不可能修完所有已知漏洞。」Apache 軟體基金會安全團隊的 Jarek Potiuk 則估計，團隊目前處理的問題數量「可能是平常的十倍」。

給組織的行動建議

• 立即將 PHP 更新至 8.5.12、8.4.27、8.3.36 或 8.2.35；若使用 Linux 發行版、主機商或設備供應商提供的套件，則套用其對應的修補版本。
• 無法立即修補時，限制 PHP 端點的網路暴露，或暫時將服務下線。
• 優先檢查 mod_php、PHP-FPM 等對外提供網頁服務的部署，並確認是否已套用發行版提供的修補程式。
• PHP 8.1 及更早版本已終止支援且仍存在風險，應規劃升級或遷移。
• 將事件應變演練擴及偵測、隔離、修復與復原，而非只著重於漏洞掃描。