PHP 嚴重漏洞引發全球安全應變

重點摘要

PHP 於 October 21, 2026 發布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，以修補 CVE-2026-109618 和 CVE-2026-109619。這兩個漏洞的 CVSSv4 評分皆為 9.2，可能使受影響伺服器遭到未經驗證的遠端程式碼執行。由於有早期攻擊及資訊提前洩漏的通報，芬蘭、荷蘭和法國預防性地讓部分政府網站下線。這些漏洞影響廣泛使用的伺服器端技術，但立即責任在網站營運者和託管服務供應商，而非一般訪客。PHP 使用者應優先套用適用的安全更新，或升級已停止支援的版本。

情緒分析

• 文章整體語氣急迫且帶有警示意味，反映兩個漏洞的嚴重程度高達 10 分中的 9.2 分，以及有報告指出攻擊者在修補程式發布前便開始探測受影響系統。
• 文章也透過實際區分各方責任來平衡疑慮：一般網路使用者不必在手機或電腦上安裝 PHP 更新，但網站擁有者和託管公司必須檢查伺服器上執行的軟體。
• 文章描述政府機關採取預防性關站措施，並警告公開修補程式可能協助攻擊者找出尚未修補系統的可利用弱點。這些內容營造出強烈的風險感，但並未聲稱每個 PHP 網站都已遭到入侵。
• 整體情緒為複雜，略偏負面：漏洞和早期攻擊的通報令人擔憂，但修補程式與緩解措施的發布也提供了明確的應對方式。進度條呈現的是整體偏負面的安全情勢，而非受影響網站的百分比。

文章內容

PHP 於 October 21, 2026 發布安全更新，修補兩個嚴重漏洞：CVE-2026-109618 和 CVE-2026-109619。兩者的 CVSSv4 評分皆為 10 分中的 9.2 分，屬於嚴重等級。這些漏洞可能讓未經驗證的人在受影響伺服器上遠端執行命令。修補版本為 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。PHP 安全公告敦促使用者立即更新。

PHP 是一種伺服器端程式語言，用於建置和運作網站。W3Techs 估計，在已知伺服器端語言的網站中，約有 70% 使用 PHP。WordPress 網站通常仰賴 PHP，因此這種語言中的漏洞可能影響廣泛的線上服務。風險與執行網站的伺服器有關；一般訪客不必在個人裝置上安裝 PHP 修補程式。

這兩個錯誤都涉及 PHP 處理記憶體中請求資料的問題。CVE-2026-109618 可能在 PHP 處理請求時耗盡記憶體，之後卻將不完整的資料視為完整資料。CVE-2026-109619 則涉及某位訪客請求中的資料留存在記憶體，進而影響後續請求的處理。在特定情況下，攻擊者可能利用這些漏洞，讓伺服器在未登入的情況下執行其程式碼。

PHP 團隊表示，使用 Apache mod_php 設定的伺服器風險尤其顯著，因為已展示的攻擊可在應用程式程式碼執行前發動。這表示網站內實作的防護措施，例如登入檢查或 WordPress 安全外掛，可能無法阻止伺服器層級的漏洞行為。研究人員也確認，PHP 的上傳進度功能是其中一種攻擊途徑。此功能會追蹤檔案上傳進度，並已預設啟用超過十年，不過許多網站並未使用它。

原本預定在修補程式準備就緒前，對漏洞詳情保密。然而，Hacker News 論壇於 Tuesday, October 20, 2026 出現一則貼文，時間早於官方公告。資安公司 watchTowr 證實漏洞確實存在，且當時仍在保密期內。Cloudflare 技術長 Dane Knecht 於 October 21 通報早期攻擊，時間比更新發布早了將近六小時。Cloudflare 部署緊急網頁應用程式防火牆規則，以阻擋已知攻擊模式，同時指出這些規則只是暫時措施，不能取代安裝修補程式。

數個公共機關採取謹慎應對措施。根據廣播公司 Yle 的報導，芬蘭國家 IT 中心 Valtori 開始讓公共網路服務下線。荷蘭國家網路安全機構也讓其網站下線，而法國內政部表示，在等待安全修補程式期間，省政府網站暫時無法使用。CERT-EU 建議無法套用修正的組織，考慮將面向網際網路的應用程式與公共網路隔離。根據 Reuters 的報導，澳洲、日本和英國的機構也發布了類似指引。

公開討論中有人聲稱，PHP 自 2004 年起的版本都受到影響。文章指出，這些說法源於早期估計和社群媒體貼文。資安公司 Sansec 認為受影響範圍為 PHP 5.4 及更新版本，也就是自 2012 年起的版本。PHP 官方僅提供 8.2 及更新版本的正式發布版本，但其安全團隊也為 7.4、8.0 和 8.1 發布了有限的原始碼修補程式。Linux 發行版可能會提供自行回補的修正。資安公司 Mallory 統計，截至 October 20，約有 884,000 個面向網際網路、顯示使用 PHP 8.1 或更舊版本的主機；在公開顯示 PHP 版本的約 1.5 million 個主機中，這只是其中一部分。這些數字指的是主機，而非個別網站；共享伺服器可以執行許多網站。

修補程式公開後，攻擊者可以比對更新後的程式碼和先前版本，找出修補了哪些弱點。Sansec 鑑識團隊預期，大規模攻擊會在發布後的 15 minutes 內開始。Akamai 曾於 June 2024 遭遇另一個 PHP 漏洞公開後 24 hours 內，誘餌伺服器便受到攻擊嘗試。這些例子說明營運者為何應儘速更新，但不應因此妄下結論，認為每個有漏洞的網站都已遭到攻擊。

網站擁有者應詢問託管服務供應商，伺服器上的 PHP 版本是否已更新，並確認由誰負責維護。根據 Wordfence 的說法，WordPress 自動更新不會套用這項伺服器層級的 PHP 修正。執行 PHP 8.1 或更舊版本的系統需要制定升級計畫，或套用可用的發行版專屬修補程式。PHP 8.2 使用者也應注意，該版本將於 December 31, 2026 終止支援，屆時將不再收到安全修補程式。核心應對方式是由網站營運者和託管服務供應商修補或升級 PHP；訪客本身沒有 PHP 更新需要安裝。

重要資訊表