PHP 漏洞 PHP2Shell 來襲：網站還沒修補完成前，企業該先做的 5 件事

 

PHP2Shell 是 PHP 核心中兩個可被遠端執行程式碼的漏洞統稱，編號為 CVE-2026-109618 與 CVE-2026-109619，在 CVSS（通用漏洞評分系統）第 4 版都被評為 9.2 分的嚴重等級。攻擊者不需要任何帳號密碼，只要對網站送出特製的請求，就有機會取得網站伺服器的控制權。

 

依國外資安媒體的整理，所有處理網頁請求的 PHP 環境都受到影響，包括 PHP-FPM、Apache mod_php、php-cgi 等常見架構，其中 mod_php 的風險最高。PHP 官方在 2026 年 10 月 21 日發布修補版本，原本預定隔天公開，因漏洞資訊提前外洩而調整時程。資安研究單位在 10 月 17 日、也就是漏洞公開前 4 天，就觀察到利用嘗試。

 

 

PHP 官方已發布的修補版本為 8.5.12、8.4.27、8.3.36 與 8.2.35，網站使用這些分支的企業應更新到對應版本以上。PHP 8.1 以前的版本已經停止官方支援，官方僅針對 7.4 到 8.1 提供原始碼層級的修補，使用作業系統套件安裝 PHP 的企業，需要向作業系統供應商確認是否已有修補套件。

 

數位發展部資通安全署對機關提出的建議，也適用於一般企業，可以作為內部檢查清單：

 

• 盤點所有 PHP 系統與相關套件，確認目前版本。
   
• 依原廠公告方式完成修補。
   
• 更新後檢視系統日誌與異常存取紀錄。
   
• 發現可疑活動時，進一步確認相關帳號與憑證的安全性。
   

 

更新版本只能堵住漏洞，處理不了更新前已經發生的事。這次的 PHP 漏洞有三個特性，讓企業在修補後仍需持續檢查：

• 修補需要時間：企業網站通常要先在測試環境確認相容性才能上線，從修補公告到正式更新，中間可能有數天空窗，這段時間網站仍暴露在攻擊之下。
   
• 舊系統修不了：許多內部系統跑在已停止支援的 PHP 或作業系統版本上，升級可能牽動整套程式改寫，短期內無法完成。
   
• 可能早已被入侵：漏洞公開前就有利用嘗試，攻擊者若已經進入伺服器，可能留下後門程式或偷走憑證私鑰，單純更新版本無法清除這些痕跡。
   

 

面對 PHP2Shell 這類可遠端執行程式碼的 PHP 漏洞，企業應依「修補前、修不了、已入侵、入侵後」的順序逐步處理。以下 5 項建議適合負責網站維運、資訊安全與內部系統的主管參考，可以和版本更新同步進行。

 

• 建議一：修補完成前，先用網頁應用防火牆擋住攻擊請求
   

網頁應用防火牆（WAF，Web Application Firewall）部署在網站前方，會先檢查每個進來的請求，再決定是否放行。在版本更新完成前，可以透過虛擬修補，也就是先載入針對特定漏洞的防禦規則，把攻擊請求擋在伺服器之外。以這次的 PHP2Shell 為例，Array 原廠已確認 Array ASF 在預設設定下即可防護。這讓企業有時間在測試環境確認相容性，不必為了趕修補而冒著網站出錯的風險直接上線。

 

• 建議二：無法升級的舊系統，要有長期的安全修補來源
   

停止支援的系統不會再收到官方更新，每出現一個新漏洞就多一個破口。對於短期內無法改寫或升級的系統，建議改用提供長期安全維護的作業系統訂閱，讓舊系統也能持續收到修補。同時應把這些系統列入優先汰換清單，並加強前方的防護。

 

• 建議三：網站後台與內部系統，不要讓外部掃描得到
   

攻擊者通常先大量掃描網路，找出還沒修補的伺服器再下手。網站管理後台、內部使用的 PHP 系統，沒有理由對所有人開放，應該讓入口在網路上隱身，只開放給通過驗證的人員與設備。外部掃描不到，就無從利用漏洞。

 

• 建議四：假設已經被入侵，佈下誘餌、準備乾淨的備份
   

漏洞公開前就已出現利用嘗試，建議調查範圍往前回溯，並假設攻擊者可能已在內部。在內網佈署仿真的伺服器與帳號作為誘餌，攻擊者一碰就會告警，可以在擴散前介入。同時確保備份放在刪不掉的環境，還原時先在隔離環境確認沒有後門，再切回正式環境。

 

• 建議五：伺服器曾被控制過，網站憑證要盡快更換
   

網站伺服器被攻擊者控制時，存放在上面的憑證私鑰可能已經外流，攻擊者可以用來假冒網站或解讀加密連線。資安署也提醒發現可疑活動時要確認憑證安全性。企業若有大量網站與伺服器，用自動化方式盤點、重新簽發並部署憑證，才能在短時間內全部換完。

 

 

資褓儲存代理的資料安全、營運韌性與運算平台產品，可以對應上述 5 項建議。企業可以先從網站前方的防護開始，再依內部系統狀況逐步補齊：

 

• 建議一：Array ASF 網頁應用防火牆

Array ASF 以反向代理方式部署在網站前方，隱藏後端伺服器的真實 IP，提供 OWASP Top 10 常見網頁攻擊防護、自動黑名單與 IP 信譽過濾。針對這次的 PHP 漏洞 PHP2Shell，Array 原廠已確認 ASF 在預設設定下即可防護，後續也會推出針對遠端程式碼執行攻擊的增強防禦。ASF 也可結合弱點管理機制，在修補程式部署前先載入針對特定 CVE（通用漏洞編號）的防禦規則，填補更新空窗期。

 

• 建議二：Canonical Ubuntu Pro

Ubuntu Pro 把安全修補範圍從免費版約 2,300 個核心套件，擴大到 23,000 多個套件，並提供最長 15 年的安全維護。搭配 Livepatch 熱修補，可以在系統運行中修補核心漏洞，不必重新開機，適合無法立即升級的長期運作系統。

 

• 建議三：Array ZTAG 零信任存取閘道

Array ZTAG 以 SPA（單封包授權）技術讓服務埠口對外隱身，沒有合法敲門封包的連線，連服務是否存在都偵測不到。網站後台與內部系統放在 ZTAG 後方，只有通過多因子驗證與設備檢查的使用者能連線。

 

• 建議四：Commvault ThreatWise 資安誘捕

ThreatWise 在內網部署仿真的伺服器、帳號與資料夾作為誘餌，攻擊者第一次互動就發出告警，並可串接 SIEM（資安事件管理系統）。它能協助企業了解攻擊者在網路中如何移動，讓應變更有方向。

 

• 建議四：Commvault Air Gap Protect ＋ Cleanroom Recovery

Air Gap Protect 把備份存放在不可變更、不可刪除的環境，攻擊者無法破壞。Cleanroom Recovery 在與正式環境隔離的潔淨環境中完成還原與驗證，確認沒有惡意程式後才切換，並產出稽核報告。

 

• 建議五：普鴻 ProCLM 憑證生命週期管理

ProCLM 自動掃描企業內外部所有憑證，到期日、發行機構與網域狀態集中在單一儀表板，並能自動申請、部署與更新憑證，支援 Apache、Nginx、IIS 等主流網頁伺服器。憑證金鑰保存在通過 FIPS 140-3 Level 3 認證的硬體安全模組中，降低私鑰外洩風險。

 

Q：PHP 漏洞 PHP2Shell 會影響我的 WordPress 網站嗎？

A：會。WordPress 是以 PHP 撰寫的網站系統，PHP2Shell 是 PHP 核心本身的漏洞，只要網站主機上的 PHP 是受影響版本，不論使用哪一種外掛或佈景主題都有風險。建議向主機商或資訊人員確認 PHP 版本，並更新到 8.5.12、8.4.27、8.3.36 或 8.2.35 以上的對應版本。

Q：PHP2Shell 漏洞有多嚴重？

A：PHP2Shell 的兩個漏洞在 CVSS（通用漏洞評分系統）第 4 版都被評為 9.2 分，屬於嚴重等級。攻擊者不需要登入，就能在網站伺服器上遠端執行程式碼，等同取得伺服器控制權。漏洞公開前已觀察到利用嘗試，英國國家網路安全中心建議無法立即修補的系統先暫時下線。

Q：還不能馬上更新 PHP，有什麼暫時的防護方法？

A：可以在網站前方部署網頁應用防火牆，透過虛擬修補先擋下針對漏洞的攻擊請求，爭取測試與更新的時間。以 Array ASF 為例，原廠已確認在預設設定下即可防護 PHP2Shell。同時把網站後台與內部系統從外部網路隱藏，減少被掃描到的機會。若網站沒有任何前方防護又無法修補，應評估暫時下線。

Q：什麼是虛擬修補？

A：虛擬修補是在程式本身還沒更新前，先在網頁應用防火牆上加入針對特定漏洞的防禦規則，讓攻擊請求在抵達伺服器前就被攔截。它的作用是爭取時間，讓企業能在測試環境確認更新沒問題後再上線，仍需搭配正式的版本更新才算完整修補。

Q：已經更新 PHP 版本，還需要做什麼？

A：更新後應檢視系統日誌與異常存取紀錄，回溯檢查漏洞公開前的這段時間，確認伺服器沒有被植入後門程式。如果發現可疑活動，要確認相關帳號密碼與網站憑證的安全性，必要時重新簽發憑證，並從確認乾淨的備份還原系統。

想確認貴公司的網站與內部系統是否受 PHP 漏洞影響？歡迎聯繫資褓儲存：Marketing@datasitter.com