重點整理
- 【證實】漏洞資訊10月20日外流後，watchTowr 自稱業界第一個公開證實漏洞為真
- 【觀察】旗下 Attacker Eye 誘捕系統10月21日觀察到兩個漏洞都遭利用
- 【建議】先保存日誌與設定再修補，不要只靠調整設定檔當作緩解
PHP 重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）在官方修補前一天外流，資安公司 watchTowr 是最早出面證實漏洞存在的業者之一。watchTowr 在官網表示，該公司10月20日即公開證實外流的漏洞屬實，並稱「watchTowr 是業界第一個這麼做的公司」。
watchTowr 表示，已重現兩個漏洞，並在 PHP 官方釋出修補前約24小時，就為平台客戶部署主動防禦措施；其分析引擎在漏洞公開時即評估 CVE-2026-109619「極可能遭到利用」。10月21日，watchTowr 旗下 Attacker Eye 誘捕系統觀察到兩個漏洞都遭利用，但該公司並未公布攻擊次數或成功比率。
watchTowr 指出，PHP 預設開啟的「session 上傳進度」功能是觸發 CVE-2026-109619 的已確認路徑之一，但還有其他路徑；Apache 搭配 mod_php 的環境風險最高。PHP 7.4、8.0、8.1 沒有官方修補版，7.3 以前版本則完全沒有修補，應升級到受支援的版本。
watchTowr 的建議
- 修補前先保存 PHP 與網頁伺服器日誌、設定快照及可疑檔案
- 檢查是否出現新的網頁後門（webshell）、不明排程工作及與 PHP 程序相關的新帳號
- 依使用版本升級至 8.5.12、8.4.27、8.3.36 或 8.2.35，並重新啟動所有 PHP worker
- 暫時無法更新的 PHP 系統應限制對外連線，並優先處理使用 mod_php 的對外伺服器
- 不要把調整 .ini 設定當成緩解手段，PHP 官方表示沒有任何設定能完全封堵漏洞
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。