Huntress：PHP2Shell暫未在客戶端觀察到攻擊　籲盤點藏在設備與控制台裡的PHP

資安公司 Huntress 針對 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）發布分析指出，截至美東時間10月21日下午4點30分，尚未在合作夥伴的系統上觀察到漏洞遭實際利用，也還沒有重現或製作概念驗證程式，但其他研究人員已回報攻擊開始出現。

Huntress 回顧，10月20日 Hacker News 上一則貼文聲稱兩個 PHP 重大漏洞即將公開，貼文雖被移除，截圖仍在社群媒體流傳；網路上也曾短暫出現一段攻擊示範影片，隨後下架。Huntress 在修補釋出前，已先建立合作夥伴端點上 PHP 的正常行為基準，以便追查異常，資安監控中心也對 PHP 相關活動提高警戒。

Huntress 特別提醒，PHP 往往不只出現在網站伺服器上，也內建在廠商設備、Windows 軟體、主機控制台與內容管理系統裡，盤點時要一併納入。對於不會再有官方修補的停止支援版本，可在 php.ini 設定 session.upload_progress.enabled = Off 並重新啟動服務，緩解已知的攻擊手法，但最好的做法仍是升級。

Huntress 的建議

• 盡快升級至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，並確認 Linux 發行版與主機商的套件
• 盤點所有 PHP 安裝，包括廠商設備、Windows 軟體、控制台與內容管理系統
• 停止支援的 PHP 先與網際網路隔離，或放在 VPN、網頁應用程式防火牆後方
• 監控 PHP worker 啟動 shell、直譯器或下載工具等異常行為
• 懷疑遭入侵時隔離伺服器、保存日誌，並檢查網頁後門、新檔案、排程工作與新帳號

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• Huntress：Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。