PHP官方今天（10月21日）緊急釋出修補程式，修復兩個被資安圈直接取名為「php2shell」的嚴重遠端程式碼執行（RCE）漏洞，CVSS v4.0評分高達9.2分，影響全球近7成採用PHP的網站，包括WordPress、Magento等主流平台背後的執行環境。更棘手的是，漏洞細節在正式公告前就已經外流，資安研究機構Sansec示警，駭客很可能在修補程式釋出後短短15分鐘內就展開大規模掃描攻擊；Cloudflare則搶先在公告前約9小時就為旗下WAF（Web應用防火牆）客戶部署好防護規則因應。這起事件在日本更引發罕見高規格反應，首相高市早苗親自在社群帳號發文示警，pixiv、niconico、《賽馬娘》《碧藍幻想》等多項人氣服務也緊急宣布停機應變。
php2shell是什麼？兩個CVE的技術細節
這次曝光的兩個漏洞分別是CVE-2026-109618與CVE-2026-109619，根據PHP官方安全公告，兩者都可能讓未經身分驗證的攻擊者，只要送出單一惡意請求，就在應用程式本身的程式碼執行之前，直接取得伺服器的遠端程式碼執行權限。
CVE-2026-109618的問題出在記憶體管理：當PHP處理請求過程中耗盡記憶體（OOM）時，部分內部資料可能來不及完成初始化，後續的清理程序卻誤把這些尚未就緒的資料當成有效資料使用，進而遭到濫用。CVE-2026-109619則與「過期的全域狀態」有關：當一次請求因為嚴重錯誤而中止時，PHP可能仍保留著指向已釋放記憶體的參照；如果同一個處理程序緊接著處理下一個請求，就有機會沿著這些過期參照存取到不該碰的記憶體內容，導致資料外洩甚至被植入惡意程式碼。
安全業者Wiz在技術分析中指出，這類記憶體管理缺陷其實已經存在PHP的程式碼庫長達數十年，過去之所以難以被實際武器化，是因為手動找出可用的攻擊路徑門檻極高；但Wiz也特別提醒：「前沿AI模型大幅降低了這個門檻，讓一個存在已久的瑕疵變成了真正可用的攻擊手法。」
消息怎麼外流的？專家警告修補後恐爆發大規模攻擊潮
PHP官方原訂於10月21日台灣時間晚間10點（UTC 14:00）統一發布修補程式與漏洞細節，但相關技術資訊卻搶先一步流出，讓這次的協調揭露（coordinated disclosure）出現破口。資安研究機構Sansec因此提出警告，預期大規模自動化攻擊掃描很可能在修補程式正式釋出後的15分鐘內就會開始；知名資安研究員Kevin Beaumont也直言，這次PHP漏洞事件「將會導致大量資安事故」，形容這是近年來最嚴重的漏洞之一。
不過截至官方公告發布時，資安業者watchtowr與Huntress都表示尚未觀察到任何在野（in the wild）的實際攻擊案例——watchtowr甚至表示團隊已成功重現CVE-2026-109618的攻擊概念，但在修補程式正式釋出前，暫不公開任何可被利用的技術細節，避免提前助長攻擊。
幾乎任何對外提供PHP服務的伺服器都在風險內
根據W3Techs的統計，PHP目前仍是近7成網站採用的伺服器端語言，WordPress、Magento等主流內容管理系統與電商平台的底層都仰賴PHP執行環境運作。PHP官方公告明確指出，只要是對外處理網頁請求的PHP安裝方式都在受影響範圍內，包括PHP-FPM、搭配Apache的mod_php、php-cgi、FrankenPHP與LiteSpeed等常見部署方式，其中又以mod_php風險最高。
目前已釋出修補的版本為PHP 8.5.12、8.4.27、8.3.36與8.2.35；至於更舊的7.4、8.0、8.1分支，官方僅提供給自行原始碼編譯、且沒有其他廠商延伸支援的使用者少量回溯修補，PHP官方已不再為8.1以前的版本提供正式更新，相關使用者應聯繫自己的主機或套件供應商，或儘速升級到受支援版本。鑑識專家Hal Pomeranz也提醒，除了主流網站外，還有大量內嵌在各類系統中、長期沒人維護或早已被遺忘的PHP應用程式，這些「長尾」存在將是這次事件後續長期的風險來源。
日本緊張程度罕見拉高：首相親自發文示警，多項人氣服務緊急停機
這次事件在日本引發的反應格外激烈。日本首相高市早苗在官方X（前Twitter）帳號上罕見地親自發文，提醒民眾「各位，今晚有件極為緊急的請求，希望各位能配合處理」，呼籲所有公開營運的網站管理者確認是否使用PHP，並在修補程式公開前做好準備盡速套用；她也提到，如果難以在第一時間套用修補，暫停網站運作也是降低風險的有效做法之一。
日本政府的國家網路安全統括室同樣在修補程式公開前同步發出警示，內容與首相的呼籲一致，並同樣建議「若難以立即套用修正程式，暫時停止網站運作也是降低風險的有效方法之一」。受到這波警示影響，多個日本大型線上服務在修補程式公開前後陸續宣布緊急維護，包括繪圖社群平台pixiv、影音平台niconico（ニコニコ）、BANDAI CHANNEL、動漫周邊電商Animate Online Shop與Melonbooks、電商平台BASE、電子書平台BOOK★WALKER，以及人氣遊戲《精靈寶可夢 睡眠》《賽馬娘 Pretty Derby》《碧藍幻想》等，多數服務的停機時間都從10月21日深夜持續到隔天清晨才陸續恢復，顯示即使是大型、資源充足的服務商，面對這類核心執行環境層級的漏洞，也只能選擇先下線求穩。
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X— 高市早苗 (@takaichi_sanae) October 21, 2026
Cloudflare WAF怎麼擋：公告前9小時搶先部署，首度啟用「全交易偵測」新技術
Cloudflare在部落格文章中說明，公司資安團隊其實早在今年10月初就已經著手開發對應的防護規則，並搶在php2shell正式公開前約9小時，也就是台灣時間10月21日上午11點02分（UTC 3:02am），就讓所有Free與付費方案的WAF客戶自動獲得預設防護，不需要額外設定。
這次部署也首度啟用Cloudflare較新的「全交易偵測」（Full Transaction Detection）能力，同時比對同一筆HTTP交易中「請求」與「伺服器回應」兩端的訊號，一旦判定來源伺服器即將回傳的內容有異常，就能在資料真正送達使用者之前先行攔截，官方表示這樣的雙向比對也有助於降低誤判（false positive）的機率。
Cloudflare執行長技術幕僚Dane Knecht也在聲明中強調：「這些防護規則已經提供給所有客戶使用，包括免費方案在內。」企業客戶可以到後台Security > Security Analytics > Events頁面，依照規則ID篩選檢視相關攔截紀錄；Cloudflare資安團隊也表示將持續觀察攻擊者如何變換攻擊手法繞過偵測，並視情況更新防護規則。
網站管理者該怎麼做：重點是升級PHP本身，只改程式碼或外掛沒有用
PHP官方與多家資安機構都一致強調同一個重點：這兩個漏洞出在PHP執行環境本身，單純更新網站程式碼或外掛並無法解決問題，網站管理者必須實際把伺服器上的PHP版本更新到前述已修補的版本；如果PHP是由主機代管業者負責維運，應立即聯繫對方確認更新進度。
在實際完成升級之前，PHP官方也提供了幾項可降低風險、但無法完全根除問題的暫時緩解設定，包括關閉`session.upload_progress.enabled`、限制`post_max_size`上傳檔案大小（例如設為8MB，若業務上需要較大檔案上傳則可拉高至32MB）、將`memory_limit`設為不限制（-1），以及在PHP 8.5上關閉`fatal_error_backtraces`；調整任何設定後，都需要重新啟動所有PHP工作程序（worker）才會生效。英國國家網路安全中心（NCSC）則建議，若有系統暫時無法立即完成修補，應考慮直接將該系統離線下架，降低暴露風險。對於一般網站經營者而言，即使有部署Cloudflare等WAF服務提供額外防護，也不能取代升級PHP本身這個根本解方，WAF規則終究只是修補完成前的過渡防線。
資料來源
- Cloudflare官方部落格：Cloudflare deploys protections against php2shell vulnerability
- PHP官方公告：2026年度安全公告與版本發布紀錄
- Help Net Security：PHP2Shell: Critical PHP vulnerabilities patched
- SecurityWeek：PHP2Shell: Mass Exploitation Looms for Leaked Critical PHP Flaws
- 電ファミニコゲーマー：「PHP」の重大な脆弱性を修正する更新プログラムが公開、国家サイバー統括室が速やかな適用を呼びかけ
- GIGAZINE：ニコニコやpixivなど各種ウェブサイトおよびアプリがPHPの緊急パッチに対応するべくメンテナンス入り
