N環球 
「PHP2Shell」：PHP 緊急修補兩個 CVSS 9.2 危急漏洞，無須登入即可遠端執行代碼
PHP 官方 10 月 21 日發布緊急更新，修補兩個被統稱為 PHP2Shell 的危急漏洞（CVE-2026-109618、CVE-2026-109619）；漏洞由 Wiz、Calif、OpenAI 等研究者發現，細節提前外洩後 Cloudflare 已觀測到真實攻擊流量。所有提供網頁服務的 PHP 環境均受影響，官方敦促立即更新。
為何重要
這是近年最嚴重的網站漏洞之一。PHP 驅動著全球相當比例的網站（WordPress、Drupal、Joomla 等），而這次的漏洞出在語言引擎本身——網站代碼寫得再安全也擋不住。攻擊者無須帳號，一個請求就可能拿到伺服器的執行權限。
更值得注意的是，Wiz 研究者指出，這些漏洞藏了幾十年，證明可利用的複雜攻擊鏈已達「人類研究者勉強能做到」的極限；前沿 AI 模型大幅降低了門檻，把長期存在的缺陷變成了真實可用的攻擊——這也是 AI 輔助安全研究正反兩面的最新例證。
全文
PHP 安全團隊 10 月 21 日發布緊急更新，修補 CVE-2026-109618 與 CVE-2026-109619，CVSS v4.0 評分均為 9.2，研究界統稱為 PHP2Shell。兩個漏洞都源於請求異常結束時 PHP 內存狀態損壞，可讓未經身份驗證的攻擊者實現遠端代碼執行。
受影響範圍涵蓋所有提供網頁服務的 PHP 安裝：PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed。安全團隊表示 mod_php 風險最高，已有實證的攻擊鏈能在應用代碼運行之前就觸發攻擊。其中一個漏洞甚至能讓攻擊者讀取工作進程內存中其他請求的密碼、令牌與 API 密鑰。
漏洞由 Wiz、Calif、OpenAI（其 Patch the Planet 計劃合作夥伴）與 Quarkslab 的研究者發現。原定協調披露前，技術細節於 10 月 20 日提前外洩，PHP 團隊遂提前一天發布補丁。Cloudflare 表示在補丁發布前就已觀測到針對其客戶的攻擊流量，並於 10 月 21 日凌晨啟動了 WAF 防護規則。荷蘭、日本多家網站（如荷蘭 DigiD、眾議院官網）在補丁發布前曾預防性下線。
官方敦促所有用戶立即更新到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；PHP 7 以前版本已停止官方支持，需聯繫 LTS 廠商或升級。
💬 留言
暫時還沒有留言，來搶沙發！