PHP發布PHP2Shell兩個重大遠端執行漏洞的緊急修補程式
· 資安
PHP安全團隊於10月21日發布非例行修補程式，處理兩個重大遠端程式碼執行漏洞，合稱PHP2Shell（CVE-2026-109618與CVE-2026-109619），嚴重度評分9.2分（滿分10分）。修補版本為PHP 8.5.12、8.4.27、8.3.36與8.2.35；維護團隊表示唯有更新才能完整保護伺服器，因為外界廣傳的暫時緩解設定本身並不足夠。多家資安公司在修補程式發布前，就已偵測到攻擊嘗試；在警戒氣氛下，數百個網站被下線。據報導，漏洞細節在預定揭露前外洩，迫使PHP基金會提前發布資訊。基金會指出，其中一個漏洞可追溯至2024年，而近期由AI公司進行的第三方審查，使這兩個漏洞受到更多關注。
為什麼重要：PHP支撐網際網路的很大一部分，因此細節外洩且已出現早期攻擊嘗試的未驗證遠端執行漏洞，會迫使所有運行自管伺服器的組織立即修補。
重點
- 漏洞細節提前外洩後，PHP基金會被迫提前揭露。
- 維護團隊表示，公開流傳的暫時緩解設定不能取代修補。
- 資安公司在修補程式推出前就已記錄到攻擊嘗試。