重點整理
- 【聲明】ENISA、CERT-EU、歐洲刑警組織等歐盟機構10月21日聯合示警 PHP 重大漏洞
- 【風險】攻擊者可能免登入遠端執行惡意程式碼，許多產品在背後使用 PHP 也會受影響
- 【建議】盤點 PHP 應用、優先修補對外系統，無法立即修補就先與公共網路隔離
歐盟網路安全局（ENISA）10月21日與歐盟執委會通訊網路、內容暨科技總署（DG CNECT）、歐盟電腦緊急應變小組（CERT-EU）、歐洲刑警組織歐洲網路犯罪中心（Europol EC3），以及歐盟各國電腦安全事件應變小組網絡（CSIRTs network）發布聯合聲明，針對 PHP 兩個重大漏洞 CVE-2026-109618、CVE-2026-109619（合稱「PHP2Shell」）提出警告。
聲明指出，PHP 是網站與應用程式廣泛使用的程式語言，這兩個漏洞可能讓攻擊者在未經身分驗證的情況下，於有漏洞的伺服器上遠端執行惡意程式碼。PHP 安全團隊已於同日 UTC 時間13時40分釋出安全更新。
歐盟機構特別提醒，許多商業與開源產品都在背後使用 PHP，即使表面上看不出使用 PHP 的產品，也可能受到影響。
歐盟機構表示，將持續監控這波威脅，協助歐盟各國掌握整體情勢；各組織也應留意各國電腦安全事件應變小組與 CERT-EU 後續發布的建議。
聲明也提到歐盟法規背景：依《網路韌性法》（Cyber Resilience Act），自2026年9月11日起，軟硬體產品製造商必須透過單一通報平台，通報遭到積極利用的漏洞；該法主要的資安要求將自2027年12月11日起適用，要求產品從設計階段就重視安全、在產品生命週期內提供安全支援，並及時修補漏洞。
歐盟機構的建議
- 盤點所有使用中的 PHP 應用程式
- 與主機商及服務供應商協調修補
- 套用 PHP 已釋出的安全更新，優先處理對外開放的系統
- 無法立即修補時，先將對外的應用程式與公共網路隔離，直到完成修補
- 參考荷蘭國家網路安全中心（NCSC-NL）在 GitHub 上整理的受影響第三方軟體清單
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各國資安機關公告及國際媒體報導整理，資訊更新至2026年10月22日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。