重點整理
- 【平台】Google Cloud 本身不受影響，但客戶執行的 PHP 可能受影響
- 【自動】App Engine standard、開啟自動更新的 Cloud Run 已自動修補
- 【自行】App Engine flexible、GKE、自建容器須自行重新打包部署
Google Cloud 安全長 Chris Betz 與 Google DeepMind 的 Gemini 安全負責人 Raluca Ada Popa 共同發文，說明 Google Cloud 對 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）的因應，官方安全公告編號為 GCP-2026-070。Google 表示，Google Cloud 本身不受影響，但客戶在 Google Cloud 上執行的 PHP 可能受影響，呼籲客戶更新到 PHP 8.2 以上並重新部署。
Google 說明，各服務的修補方式不同：App Engine standard 的 PHP 8.2 以上版本已自動更新；Cloud Run 與 Cloud Run functions 有開啟基礎映像檔自動更新者會自動修補，其他則需重新打包部署；App Engine flexible、GKE、Marketplace 方案與客戶自建的容器，都必須由客戶自行更新 PHP 並重新部署。PHP 5.5、7.2、7.3、7.4 與 8.1 等執行環境不會有修補，必須升級到 8.2 以上。
防護方面，已啟用 Cloud Armor 託管規則的客戶會自動受到保護，其他客戶可啟用穩定版託管規則中的檔案上傳等類別並設為強制模式，同時限制超過檢查上限的請求本文，因為攻擊者可能用大型請求觸發記憶體不足。Google 強調，這些只是補償性控制，仍必須升級並重新部署 PHP。
偵測方面，Google 在 Security Command Center 提供外部曝險掃描，找出 Compute Engine、GKE、Cloud Run 上對外暴露的 PHP 工作負載；Google Security Operations 則在 Mandiant 規則包新增23條偵測規則。Google 也提到，Wiz 研究團隊使用 Gemini 4 Argon 參與了漏洞發現、攻擊程式開發、攻擊偵測與修補驗證，Wiz 並為客戶提供已修補的 PHP 映像檔，60天內免費使用。
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。