PHP 近期爆發的兩項嚴重底層遠端程式碼執行（RCE）零時差漏洞（CVSS 9.2），攻擊者無須身分驗證即可入侵，影響 PHP 5.4 至 8.5.11 所有版本。
目前狀態
PHP 官方已於 2026/10/21 緊急釋出修補版本，且自 2026/10/17 起已出現實際在野攻擊，未更新主機需立即升級並清查日誌。
基本資訊（受影響與修補版本）
- 受影響範圍： PHP 5.4 ～ 8.5.11（涵蓋 PHP-FPM、Apache
mod_php、php-cgi、LiteSpeed 等所有運行模式） - 官方正式修補版： PHP 8.5.12、8.4.27、8.3.36、8.2.35
- 舊版（PHP 5.6 ～ 7.4）修補管道： 透過 Ubuntu/Debian（Ondřej PPA）、RHEL/Ubuntu 系統套件庫取得回溯修補（Backport），或使用 GitHub
php/php-src釋出的 PHP 7.4 原始碼 Patch 自行編譯。
事件經過
2026/08— 資安團隊 Calif 與 Wiz 分別透過 AI 審查原始碼發現漏洞，並私下通報 PHP 基金會啟動秘密修補。2026/10/17— AWS MadPot 誘捕系統偵測到駭客於官方公開前發動零時差（Zero-Day）實際攻擊。2026/10/20— 漏洞消息於 Hacker News 論壇提前外洩，引發全球政府、金融機構與大型平台緊急下線維護。2026/10/21— PHP 官方提前一天釋出修補程式，同日網路爆發大規模自動化掃描與攻擊。
應對與暫時緩解方式（無法立即升級時）
- 修改
php.ini： 設定session.upload_progress.enabled = 0、memory_limit = -1（需搭配外部記憶體限制），並調降post_max_size（如8M）與上傳限制。 - 網頁伺服器攔截： 於 Nginx 設定
client_max_body_size 8M;阻擋超大請求進入 PHP。 - WAF 防護： 封鎖包含
PHP_SESSION_UPLOAD_PROGRESS字串或非必要的multipart/form-data請求。 - 入侵排查： 回溯檢查
2026/10/17起的 Web Log（異常龐大 POST）、PHP Error Log（記憶體耗盡錯誤）及網站目錄是否遭植入未知.php檔案。
關鍵人物／單位
- PHP 基金會（PHP Foundation）
- Calif、Wiz（漏洞發現團隊）
- Amazon Threat Intelligence（在野攻擊觀測單位）
注意事項
- 修改
php.ini僅能阻擋已知攻擊路徑，無法完全免疫；將memory_limit設為-1有耗盡實體記憶體風險，務必同步於 Nginx/Apache 或容器層級限制請求與記憶體上限。
研究關鍵字：
PHP2Shell、CVE-2026-109618、CVE-2026-109619參考資料
- [國家資通安全研究院 - PHP存在高風險安全漏洞(CVE-2026-109618與CVE-2026-109619)，請儘速確認並進行處置](https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/Vulnerability_Alert_Announcements/5c4e9af1-4275-44ef-a277-c692786b5a2c/)
