2026 年 10 月 21 日，PHP 官方紧急发佈安全更新，修补两个被称为 PHP2Shell 的严重漏洞（CVE-2026-109618 与 CVE-2026-109619）。这两个漏洞都允许未经身份验证的远端程式码执行，换言之，攻击者无需登入，便可能在网站伺服器上执行指令。两者的 CVSS v4.0 评分均为 9.2，而且漏洞细节在原定披露日之前外洩，迫使官方提前发佈修补版本。对于使用 PHP 的企业网站而言，这是一宗必须立即处理的网站安全事件。
受影响范围
漏洞存在于 PHP 核心，因此凡是处理网页请求的 PHP 环境都可能受影响，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 及 LiteSpeed。已修补的版本为 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35。至于 PHP 8.1 及更早版本，由于已终止支援，官方沒有发佈修补版本，网站只能升级到仍受支援的版本，或依赖主机商提供的回移修补。资安公司 watchTowr 表示，早在 10 月 21 日已观察到实际攻击，而美国 CISA 同日则表示未有发现攻击；英国 NCSC 亦建议，无法即时修补的系统应考虑暂时下缐。Cloudflare 亦曾部署临时防火墙规则作为缓解措施。
为何中小企网站首当其冲
许多企业网站放在廉价共享主机，或遗留旧的测试站、活动专页与微型网站，而这些环境往往最少人跟进更新，也最容易成为攻击者的目标。一旦被入侵，后果通常不止网页被窜改，还可能涉及客户资料外洩、恶意程式植入，以及垃圾连结令搜寻排名下滑。HKCERT 2026 年第一季的报告亦指出，网站被窜改的个案，往往与未修补的漏洞、弱密码及错误设定有关。如果不幸中招，可参考我们的网站被入侵应对指南。
本週应采取的行动
首先，盘点所有 PHP 环境，包括正式站、测试站、后台管理系统与主机控制面板。其次，向主机商确认 PHP 版本，並升级到已修补的版本，或要求提供回移修补。第三，在更新前后各做一次完整备份，並检查伺服器日志，留意由 PHP 程序衍生的异常子程序。此外，PHP 团队其后亦公佈另一个视乎设定才会触发的漏洞（CVE-2026-115560），並建议暂时停用 session.upload_progress 功能，实际状态请以 php.net 最新公告为准。定期的安全扫描与书面的审计清单，能让下次应变快得多。想了解更多，可阅读常见问题：网站安全有多重要。
