全球廣泛使用的網頁伺服端程式語言 PHP 於 2026 年 10 月 21 日緊急發布重大安全性更新，修補兩個被統稱為「PHP2Shell」的極嚴重遠端代碼執行（RCE）漏洞（CVE-2026-109618 與 CVE-2026-109619，CVSS 評分高達 9.2）。由於這兩項漏洞的利用細節與自動化攻擊腳本已在社群與暗網論壇提前曝光，官方與全球資安團隊隨即提前啟動緊急修補程序。所有運行 PHP 處理 Web 請求的環境（包含 PHP-FPM、Apache mod_php、FrankenPHP 與 LiteSpeed）均受到嚴重威脅，其中又以 Apache mod_php 風險最高，強烈呼籲所有伺服器管理員與網站擁有者盡快完成版本升級。
這次漏洞之所以引發資安界高度震動，主因在於其攻擊觸發點位於 PHP 引擎的最底層架構。當惡意訪客發送特殊構造的 multipart/form-data 請求時，PHP 底層在初始化內部請求數據的瞬間即會引發記憶體損壞（OOM Corruption）或殘留全域狀態（Stale Global State），讓攻擊者能在完全未經身分驗證的情況下取得伺服器控制權。換言之，即使網站程式碼寫得再嚴密、甚至使用 WordPress 安全外掛（如 Wordfence），都無法提供防護，因為攻擊在任何應用層程式碼與外掛尚未被載入執行前就已經完成突破；且網站即使沒有提供任何檔案上傳功能，只要有任何 .php 端點存在，伺服器便處於高危險之中。
| 分支版本 | 修補後之安全版本 | 狀態與處置建議 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 官方支援分支，建議立即升級 |
| PHP 8.4 | 8.4.27 | 官方支援分支，建議立即升級 |
| PHP 8.3 | 8.3.36 | 官方支援分支，建議立即升級 |
| PHP 8.2 | 8.2.35 | 即將於 2026 年底終止支援（EOL），請立即升級並規劃跨大版本遷移 |
| PHP 8.1 及更早（7.x / 5.x） | 無官方正式發行版本 | 官方已終止維護。僅針對 7.4、8.0、8.1 提供極簡原始碼 Backports，或需依賴 Linux LTS 廠商補丁，強烈建議直接升級至受支援版本 |
官方再三強調「升級修補是唯一的完全解決之道」，任何組態調整僅能降低特定路徑的風險，無法保證絕對安全。若伺服器因維運流程無法在第一時間完成 PHP 重建或升級，管理員可採取以下緊急緩解措施爭取時間：將 session.upload_progress.enabled 設為 0 並重啟所有 Worker；在 PHP 8.5 環境下將 fatal_error_backtraces 關閉為 0；在網頁伺服器與反向代理層嚴格限制請求大小、標頭數量與結構巢狀深度，並在無上傳需求的網站將 post_max_size 縮減至 8M。此外，使用第三方 Remi 套件庫（rpms.remirepo.net）的用戶應儘速切換至系統發行版官方套件或編譯原始碼，以確保能即時獲取安全修補。
🔧 萌芽站長的話：萌芽系列網站已於今日（10/22）中午前完成全站 PHP 升級作業，已經不受此安全漏洞影響。
《上一篇》【活動贈品】純喫茶 底片相機盲盒 (香橙綠) 
留言區 / Comments
萌芽論壇