重點整理
- 【警報】英國國家網路安全中心10月21日發布 PHP 重大漏洞警報
- 【範圍】使用任何版本 PHP 的組織都受影響，包括內含 PHP 的其他產品
- 【建議】盡快更新；無法更新又無法緩解時，考慮將系統下線
英國國家網路安全中心（NCSC）10月21日發布警報，指出 PHP 已釋出安全更新，修補一項可能讓攻擊者在任何執行 PHP 的網頁伺服器上執行指令的重大缺陷，涉及 CVE-2026-109618 與 CVE-2026-109619 兩個漏洞（合稱「PHP2Shell」）。
NCSC 說明，CVE-2026-109618 是 PHP 在記憶體不足時，可能在請求資料只設定一半時被中斷，後續清理程序會把無效資料當成有效資料；CVE-2026-109619 則是與請求相關的內部狀態在記憶體釋放後仍被保留，同一個 worker 處理下一個請求時可能誤用。NCSC 指出，記憶體不足的狀況可能造成記憶體損壞，在特定條件下可被利用來未經驗證遠端執行程式碼。
NCSC 表示，使用任何版本 PHP 的組織都受影響，強烈建議更新到最新的修補版本，仍使用舊版本的組織則應改用完整受支援的版本。NCSC 將持續監控這次漏洞對英國組織的影響。
NCSC 在警報中強調：「若無法立即修補，組織應考慮將系統下線，直到完全緩解為止。」此外也推薦英國組織使用 NCSC 免費的「早期預警」（Early Warning）服務。
NCSC 列出的8項優先行動
- 找出所有 PHP 安裝，從對外系統開始，評估兩個漏洞的暴露程度，不要只檢查舊版本
- 留意廠商的安全更新，包括內含 PHP 的設備與服務，並及時套用
- 更新到最新版 PHP，並持續關注後續更新
- 套用 PHP 團隊公布的額外強化措施
- 無法更新時，套用 PHP 團隊公布的暫時緩解措施
- 無法快速套用緩解措施時，考慮將系統下線，直到完全緩解
- 若無法立即更新、停用或下線，應檢查系統是否有遭入侵與後門的跡象，必要時尋求 NCSC 認證的資安事件應變業者協助
- 持續關注依賴 PHP 的產品更新；荷蘭 NCSC-NL 已公布可能受影響產品的清單
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各國資安機關公告及國際媒體報導整理，資訊更新至2026年10月22日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。