作者：默思編輯部 發布：2026-10-21
2026年10月20日前後，兩個編號為CVE-2026-109618與CVE-2026-109619、合稱「PHP2Shell」的PHP核心層級漏洞細節，在原訂的協調揭露（coordinated disclosure）時間之前就在社群媒體上流出。這類安全圈俗稱「提前外流」的事件，意味著攻擊者拿到可用資訊的時間，往往早於防守方準備好修補的時間。PHP開發團隊原本規劃統一公告，但眼看資訊已經流散，只能緊急提前，於10月21日當天釋出修補版本。
根據資安媒體整理的技術說明，CVE-2026-109618與請求結束時記憶體未被妥善清理有關：PHP在記憶體不足（OOM）時中斷執行，導致請求資料只初始化到一半，後續清理流程卻把這些未完成的資料當成合法資料處理。CVE-2026-109619則牽涉request-scoped狀態在記憶體釋放後仍殘留，被同一個worker的下一筆請求誤用。兩者都不需要登入、也不需要使用者互動，單一請求就可能觸發，這也是它被歸類為「未驗證遠端任意程式碼執行」的原因。
PHP官方與watchTowr目前公布的CVSS v4.0評分都是9.2（滿分10分），但在外流初期，部分社群討論與整理文章一度出現不同的風險評分數字，造成外界對嚴重程度的認知一度不一致。這種揭露前後資訊不對稱、評分浮動的狀況，其實是機密資安情報提前外流時常見的現象，建議資安人員以廠商正式公告為準，而非流出當下的片段訊息。
實務上，只要伺服器上跑的是會處理web請求的PHP（PHP-FPM、Apache搭配mod_php、php-cgi、FrankenPHP、LiteSpeed皆在列），都應該視為潛在受影響對象，盡快排程更新，不要等到確認自己是否「真的會被打」才動作。
想持續補強程式開發與資安基礎知識，可以參考站內課程。
參考資料