PHP 安全團隊於 2026 年 10 月 20 日發布預告，將在台灣時間 10 月 21 日 22 時（14:00 UTC）釋出緊急安全更新，修補兩個 CVSS v4.0 評分 9.2 的重大漏洞。官方公告並未揭露 CVE 編號與技術細節，但資安公司 watchTowr 向 BleepingComputer 證實，這兩個漏洞即為 CVE-2026-109618 與 CVE-2026-109619，皆為 PHP 核心的遠端程式碼執行（RCE）漏洞，而且相關資訊在原訂禁運期（embargo）結束前就已外洩。
這次事件的特殊之處在於順序顛倒。正常的協調揭露流程是修補程式與公告同時發布，這次卻是漏洞編號、嚴重度與影響範圍先在 Hacker News 與社群平台流傳，PHP 官方才被迫提前一天釋出修補。對於台灣大量以 PHP 架設的 WordPress、WooCommerce、Drupal 與各類內部系統而言，這意味著在修補程式落地之前，攻擊者已經知道有東西值得找，防守方卻還不知道該防什麼。
截至台灣時間 10 月 21 日，php.net 首頁仍顯示最新版本為 8.5.11、8.4.26、8.3.35 與 8.2.34，修補版尚未上線。CyberQ 與客戶討論並彙整現階段可查證的資訊、相關 PHP 生態系漏洞脈絡，以及在修補程式釋出前後應採取的行動，並標註尚待官方確認的事項。
外洩經過與時間軸
整起事件從 10 月 20 日 15:20 UTC 一則 Hacker News 貼文開始，到 PHP 官方宣布提前一天修補，前後不到四小時。以下時間以 UTC 為準，台灣時間加 8 小時。
| 時間（UTC） | 事件 | 來源 |
|---|---|---|
| 10 月 21 日 14:00（預定） | PHP 安全團隊預定釋出修補版本，並公布完整細節、受影響版本與修補版本 | php.net |
| 10 月 20 日 22:15 | Mallory 發布曝險分析，估算約 884,000 台對外主機執行已停止支援的 PHP 版本 | Mallory |
| 10 月 20 日 19:35 | watchTowr 發布 FAQ 頁面，說明尚無野外攻擊、未列入 CISA KEV、修補前無因應措施 | watchTowr |
| 10 月 20 日下午 | PHP 官方在 php.net 與 ANNOUNCE 郵件列表發布預告，排定 10 月 21 日 14:00 UTC 釋出，並保留提前釋出的權利 | php.net |
| 10 月 20 日下午 | watchTowr 在 X 公開證實外洩內容屬實，並表示已成功重現 CVE-2026-109618，但在修補釋出前不公開技術細節 | BleepingComputer |
| 10 月 20 日下午 | 研究員 Florian Roth 在 X 表示漏洞位於 PHP 核心，且僅 PHP 8 會獲得修補 | Cyber Kendra |
| 10 月 20 日 15:20 | Hacker News 使用者 petecooper 發文，宣稱兩個 CVSS 10.0 的 PHP RCE 漏洞將於 10 月 22 日揭露，影響 PHP 5 以後所有版本。貼文隨後被標記並刪除，但截圖已在 X 與 Mastodon 流傳 | Cyber Kendra |
根據 watchTowr 執行長 Benjamin Harris 向 BleepingComputer 的說明，原訂的協調揭露時間是美東時間 10 月 22 日（週四）上午 11 時。外洩發生後，PHP 官方將釋出時間提前至 10 月 21 日，比原計畫早了約一天。Sansec 另指出，隨公告一併外流的還有一張名為 PHP2Shell 的攻擊工具截圖，標示出自 Calif.IO，工具橫幅宣稱可攻擊 PHP 5.4.0 以後所有版本。Kevin Beaumont 在 Mastodon 也提到 Calif 似乎有一個名為 php2shell、可針對 WordPress 的 PoC 影片。Huntress 則表示曾有一段攻擊展示影片短暫上線後被移除。這些截圖與影片的真實性與來源，官方尚未確認。
目前已知與尚未公開的資訊
官方公告與外洩內容之間存在兩處明顯落差，一是評分，二是釋出時間。值得注意的是，php.net 的公告全文並未提及 CVE 編號，也未使用「遠端程式碼執行」一詞，這些描述全部來自 watchTowr 與外流貼文。
| 項目 | PHP 官方公告 | 外洩內容與研究社群說法 | 狀態 |
|---|---|---|---|
| 漏洞數量 | 兩個重大漏洞 | 兩個 | 一致 |
| CVE 編號 | 未提及 | CVE-2026-109618、CVE-2026-109619 | watchTowr 證實，官方待確認 |
| 嚴重度 | CVSS v4.0 9.2（兩者皆是） | Hacker News 貼文與 watchTowr 稱 CVSS 10.0，未說明版本 | 以官方 9.2 為準 |
| 漏洞類型 | 未說明 | 遠端程式碼執行，位於 PHP 核心 | watchTowr 與 Florian Roth 說法，官方待確認 |
| 受影響版本 | 未說明，將隨釋出公布 | PHP 5、6、7、8 全部受影響，Sansec 稱 5.4.0 以後 | 待官方確認 |
| 修補版本 | 未說明 | 8.5.12、8.4.27、8.3.36、8.2.35 | Kevin Beaumont 與 Mallory 引述，Phoenix Security 標註為單一來源，待官方確認 |
| 野外攻擊 | 未提及 | watchTowr 與 Huntress 皆表示截至 10 月 20 日未觀察到 | 持續監控 |
| CISA KEV | 不適用 | 未列入 | watchTowr FAQ |
| 技術細節 | 將隨釋出公布 | 無人公開，watchTowr 已重現 CVE-2026-109618 | 修補後預期快速出現 |
兩個 CVE 在 cve.org 上目前仍為保留（Reserved）狀態，NVD 也尚未評分。watchTowr 的 FAQ 明確表示，在官方公告之前，資安團隊無法判斷哪些特定佈署面臨最大曝險，也沒有任何已確認的因應措施或臨時緩解方式。Sansec 的文章關鍵字列出 session.upload_progress.enabled 與 session.use_strict_mode 兩個 php.ini 設定，暗示其臨時緩解建議可能與 session 機制有關，但該頁面正文未對外完整顯示，此推測列為待查，不建議在官方細節公布前據此調整設定。
Huntress 的 John Hammond 對「php2shell」這個名稱的解讀值得一提。在 PHP 生態系中，以「2shell」為後綴的命名慣例，通常代表攻擊者送出一個請求就能在目標伺服器取得 shell，也就是無需驗證的前置攻擊。若此命名反映實際情況，漏洞的可利用性將遠高於需要先取得帳號或特定設定的類型。
影響範圍、修補版本與停止支援的版本
這次漏洞最大的結構性問題，在於 PHP 官方只維護 8.2 以後的分支，而大量對外主機仍停留在更舊的版本。依 PHP 官方支援政策，8.2 的安全支援將於 2026 年 12 月 31 日結束，8.1 以前的版本早已停止支援。Sansec 直言，PHP 8.1 或更舊版本的伺服器不會獲得官方修補。
Mallory 於 10 月 20 日以 Shodan 的 X-Powered-By 標頭統計，在約 150 萬台回報 PHP 版本的對外主機中，有 59%（883,717 台）執行無法取得修補的版本。各版本分支的分布如下。
| PHP 分支 | 對外主機數 | 是否有官方修補 |
|---|---|---|
| 8.2 至 8.5 | 612,269 | 有 |
| 8.0 與 8.1 | 185,789 | 無，已停止支援 |
| 7.x | 329,358 | 無，已停止支援 |
| 5.x | 368,570 | 無，已停止支援 |
上表資料來源為 Mallory。Mallory 同時指出，PHP 5.6 與 7.2 兩個分支合計約 371,000 台主機無修補可用，另有約 740,000 台 PHP 主機隱藏版本號未納入統計，實際曝險數量應更高。由於共享主機會將多個網站放在同一 IP，受影響的網站數遠多於主機數。依國家統計，美國 593,489 台 PHP 主機中有 54% 無修補，日本 142,213 台中有 61%，中國 189,636 台中有 75%，韓國 49,009 台主機中則高達 82% 待修補。
主機代管業者方面，Amazon 旗下網路超過 290,000 台、Hostinger 142,401 台、Alibaba Cloud 81,078 台、Hetzner 51,354 台、DigitalOcean 47,105 台、OVH 36,848 台。這些數字涵蓋各業者網路上所有 PHP 主機，不區分版本是否可修補。
需要特別留意的是，Linux 發行版的套件維護者（Debian、Ubuntu、RHEL）可能會將修補回移（backport）至較舊版本，因此以發行版套件安裝 PHP 的系統，應以發行版的安全公告為準，而非只看 php.net 的版本號。使用 cPanel、Plesk 等控制台的共享主機用戶，則須等待主機商派送更新。
相關漏洞與脈絡
這兩個漏洞並非孤立事件。2026 年 PHP 核心與其生態系已出現多起值得對照的漏洞，有些在技術上可能相關，有些則說明攻擊者的關注焦點。以下依時間新舊排列，其中與本次 CVE 的關聯性皆由各來源自行聲明，官方尚未確認任何連結。
| 時間 | 漏洞或事件 | 內容 | 與本次事件的關係 |
|---|---|---|---|
| 2026 年 9 月 24 日 | PHP 8.5.11、8.4.26、8.3.35、8.2.34 | PHP 2026 年第四輪安全更新，前三輪分別在 5 月 7 日、7 月 2 日與 7 月 30 日 | 本次修補版的直接前一版，顯示 PHP 核心今年安全更新頻率偏高 |
| 2026 年 9 月 | Comment2Shell（CVE-2026-93485） | WordPress 從 XSS 串接至 RCE 的攻擊鏈，Cyber Kendra 於 9 月 22 日報導 | 同為「2shell」命名慣例，說明 PHP 應用層攻擊鏈持續出現，細節待查 |
| 2026 年 8 月 22 日 | php-src PR #23411 | 修補 php-cgi 的一個問題，Mallory 指出其與 2019 年遭大規模利用的 PHP-FPM 漏洞 CVE-2019-11043 高度相似。FPM 在 2019 年已加入防護（commit ab061f95ca9），php-cgi 則未加入。截至 10 月 20 日該 PR 仍未合併 | Mallory 明確表示未確認可利用，也無證據與本次兩個 CVE 相關，但建議一併檢查 |
| 2026 年 7 月 18 日 | wp2shell（CVE-2026-63030、CVE-2026-60137） | WordPress 無需驗證的 RCE 攻擊鏈，由 Assetnote 的研究員 hash_kitten 發現，Calif 於 7 月 18 日在 X 表示已重現 | Calif 即為本次外洩截圖中 PHP2Shell 工具的署名來源，顯示該團隊近期持續投入 PHP 與 WordPress 攻擊研究 |
| 2026 年 5 月前後 | Calif「MAD Bugs」研究 | Calif 發布 PHP unserialize() 的 use-after-free 漏洞研究，宣稱是首個公開針對 PHP 8.x 的遠端 UAF 攻擊，在 PHP 8.5.5 上以約 2,000 個 HTTP 請求取得 shell，漏洞存在 21 年。該文同時宣布 Stefan Esser 加入 Calif | 說明 Calif 具備 PHP 核心記憶體漏洞的攻擊能力，CVE 編號待查 |
| 2019 年 10 月 | CVE-2019-11043 | PHP-FPM 在 nginx 特定設定下的 RCE，公開後迅速遭大規模掃描利用 | 本次 php-cgi 問題的對照案例，也是 PHP 核心漏洞從公開到野外攻擊速度的歷史參考 |
| 2012 年 5 月 | CVE-2012-1823 | php-cgi 查詢字串參數注入導致 RCE | php-cgi 執行模式的歷史風險，與 PR #23411 所處的程式碼路徑相同 |
關於 php-cgi 的問題，Mallory 說明只有三個條件同時成立時才需要關注。一是 PHP 以 php-cgi 而非 FPM 執行，二是 cgi.fix_pathinfo 設為 1（預設值），三是網頁伺服器會轉送 PATH_INFO（nginx 的 fastcgi_split_path_info 即屬此類）。若符合，可在測試後將 cgi.fix_pathinfo 設為 0，或在 nginx 的 PHP location 區塊加入 try_files $fastcgi_script_name =404。改用 PHP-FPM 則可完全避開此問題。
從上述脈絡可以看到，2026 年下半年 PHP 攻擊研究的重心，已從應用層（WordPress 外掛、主題）逐漸移向直譯器核心本身。核心漏洞的影響範圍不受應用種類限制，這也是為何 Huntress 指出，當漏洞出現在 PHP 本身而非其上的某個應用時，需要清查的位置會變得非常多。
偵測與應變建議
在修補程式釋出前，可做的事是清點資產與準備偵測，修補釋出後則是在數小時內完成更新。Sansec 預估修補釋出後 15 分鐘內就會出現大規模攻擊，Mallory 與 Huntress 也都預期技術細節公開後數小時內會出現 PoC。
修補釋出前
CyberQ 建議清點所有 PHP 安裝點，記錄版本與執行模式（PHP-FPM、mod_php、php-cgi）。除了網頁伺服器，也要檢查內建 php.exe 或 php-cgi.exe 的廠商設備與 Windows 軟體、cPanel 與 Plesk 等控制台，以及所有 WordPress、Drupal、Joomla、Magento 站台。
對 8.2 以上版本，預先排定台灣時間 10 月 21 日 22 時之後的緊急更新時段，對外系統優先。
對 8.1 以下版本，沒有官方修補可等。應升級至受支援分支，或以 VPN、IP 允許清單、WAF 限制存取，必要時先下線。
詢問廠商與主機商，確認其設備或代管服務內建的 PHP 版本與更新時程。
準備偵測規則，重點是 PHP 工作程序產生異常子程序。
偵測重點
Florian Roth 與 Huntress 的看法一致，這類漏洞的利用行為幾乎都會表現為 PHP 程序產生可疑子程序。具體而言，當 php-fpm、php-cgi、php-cgi.exe、httpd 或 apache2 啟動以下程序時，應視為高度可疑。
Shell 程式，如 sh、bash、cmd.exe、powershell.exe
直譯器，如 python、perl
下載或網路工具，如 curl、wget、nc、certutil.exe
命令列含反向 shell 特徵，如 /dev/tcp/、fsockopen、mkfifo
從網頁伺服器直接執行的偵察指令，如 whoami、id、uname -a、ipconfig
對於沒有 EDR 的 Linux 網頁伺服器，Florian Roth 釋出了免費的 process-watcher 工具，並針對本次事件提供快速設定說明，建議先以觀察模式啟動。Huntress 表示已在修補釋出前擷取其客戶端點的 PHP 正常行為基準，待細節公開後比對新活動，並將在 huntresslabs/threat-intel 發布 Sigma 與 YARA 規則。
修補釋出後
立即將 8.2 至 8.5 更新至修補版本，預期為 8.5.12、8.4.27、8.3.36、8.2.35，以 php.net 公告為準。
以發行版套件安裝者，確認 Debian、Ubuntu、RHEL 是否已釋出回移修補。
監看網頁根目錄的新檔案、網頁伺服器的異常子程序，以及新增的 cron 工作、排程工作與帳號。
若發現入侵跡象，隔離該伺服器並保留網頁伺服器與 PHP 日誌，再檢查 webshell。
對 MSP 與資安稽核的意義
CyberQ 認為，對於受 ITGC 或 ISO 27001 框架規範的組織，這次事件可作為變更管理與弱點管理流程的實際檢驗。重點包括資產清冊是否涵蓋廠商設備內嵌的 PHP、緊急修補是否有預先核准的流程可走，以及停止支援的 PHP 版本是否已列入風險登錄並有補償控制措施。
根據Mallory 的統計，全球近六成對外 PHP 主機無修補可用，這個比例在內部稽核時應作為技術債的量化依據。
資料來源
PHP: Upcoming Critical PHP Security Release
BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow
watchTowr: PHP Remote Code Execution FAQ
Sansec: Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619
Mallory: PHP’s Critical RCE Fixes Skip 884,000 Internet-Facing Hosts
