PHP2Shell短期防護怎麼做？升級重啟、保存證據、更換金鑰一次看

PHP 重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）修補已釋出，PHP 官方強調升級是唯一完整的解法。綜合 PHP 官方公告與各資安公司的建議，網站管理者在短期內應依序完成以下幾件事。

第一，升級 PHP 並重新啟動。請依使用中的版本升級到 8.5.12、8.4.27、8.3.36 或 8.2.35，使用 Ubuntu、Debian、Red Hat 等 Linux 發行版的，則安裝發行版的修補套件；虛擬主機用戶請向主機商確認是否已更新。安裝完一定要重新啟動所有 PHP 程序，因為還在記憶體中執行的舊程式一樣有漏洞。用容器部署的網站，需要以已修補的映像檔重新打包並部署，PHP 8.1 以前的官方映像檔不會再有修補。

第二，修補前先保存證據。watchTowr 與 Armis 建議，在動手修補前，先備份 PHP 與網頁伺服器的日誌、設定快照，以及可疑主機的記憶體與程序狀態。因為重新啟動會清掉記憶體，CVE-2026-109619 留下的痕跡也會跟著消失。

第三，更換可能外洩的密碼與金鑰。其中一個漏洞可能讓攻擊者讀到伺服器記憶體中的密碼、登入權杖、API 金鑰與憑證，而修補無法收回已經外洩的資料。資安研究機構 KuppingerCole 建議，曾經曝險的伺服器應更換這些憑證，並優先處理能連到其他系統的。

第四，暫時無法升級時的緩解措施。PHP 官方列出幾項只能「降低風險、不能保證安全」的設定，包括在 php.ini 或 FPM 設定中關閉 session.upload_progress.enabled、以無法被覆寫的方式設定 memory_limit=-1、降低 post_max_size，PHP 8.5 另外設定 fatal_error_backtraces=0，改完後必須重新啟動。記憶體上限應改用容器或 cgroup 限制，不要用 RLIMIT_AS 或 RLIMIT_DATA，因為那會直接觸發有漏洞的程式路徑。

第五，用防火牆爭取時間。Cloudflare 免費與付費方案都已預設開啟防護規則，AWS WAF 的 PHP 託管規則已更新到2.3版，Google Cloud Armor 也提供託管規則；但各家都強調這只是多一層防護，不能取代升級。若修補和緩解措施都無法快速完成，英國、美國與歐盟資安機關建議考慮將系統暫時下線或與網際網路隔離；台灣資安署則表示，修補與防火牆都無法緩解時，才建議暫時下架網頁。

最後，檢查是否已遭入侵。由於 AWS 在10月17日、也就是漏洞公開前4天就記錄到攻擊嘗試，調查應從10月17日開始。攻擊發生在網站程式執行之前，只看網站日誌不夠，應一併監控 PHP 程序是否啟動 shell 或下載工具、是否出現新的網頁後門、排程工作或帳號，以及含有 PHP_SESSION_UPLOAD_PROGRESS 字串的 POST 請求；懷疑遭入侵時，應隔離伺服器並尋求資安專業協助。

短期防護檢查清單

• 確認網站實際使用的 PHP 版本（以網頁環境為準，不只看命令列 php -v）
• 升級到 8.5.12、8.4.27、8.3.36 或 8.2.35，或安裝發行版、主機商的修補
• 重新啟動所有 PHP 程序；容器部署的網站重新打包映像檔並部署
• 修補前保存日誌、設定與可疑主機的記憶體及程序狀態
• 更換曝險伺服器上的密碼、權杖、API 金鑰與憑證
• 暫時無法升級：關閉 session.upload_progress.enabled 等緩解設定，並開啟防火牆規則
• 從10月17日起檢查是否有網頁後門、異常程序、排程工作與新帳號
• 仍無法處理的對外系統，考慮暫時下線或與網際網路隔離

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• PHP 官方安全公告
• watchTowr：PHP2Shell RCE Exploited
• Armis：PHP2Shell: How to Find, Prioritize, and Patch Affected Systems
• KuppingerCole：PHP2Shell Wasn’t a Supply Chain Attack. That’s the Problem
• AWS：Using AWS WAF to apply mitigations for PHP2Shell
• Cloudflare：Cloudflare deploys protections against php2shell vulnerability
• AWS：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合PHP 官方公告、各資安公司分析及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。