作者：默思編輯部 發布：2026-10-22
PHP2Shell從10月20日外流、10月21日官方搶修以來，最讓人困惑的其實不是技術細節，而是「到底有沒有人在打」這件事——各家資安廠商在同一時間點給出的答案並不一致。
watchTowr在自家FAQ頁面指出，截至10月21日，其誘捕網路（honeypot）已觀測到針對這組漏洞的攻擊行為。但該頁面同時也承認，目前沒有任何攻擊組織被公開歸因，也就是看得到攻擊流量，但說不出是誰在打、打得多深入。
另一方面，SecurityWeek整理指出，在官方修補釋出之前，watchTowr與Huntress兩家公司都表示尚未觀測到實際攻擊；資安廠商Sansec甚至預測，一旦修補釋出、攻擊者能透過diff回推漏洞細節，大規模掃描可能在修補公告後15分鐘內就會開始出現。換句話說，多數廠商的共識其實是「漏洞公開後才是真正風險爆發的起點」，而不是外流當下。
值得注意的是，截至目前查證，CVE-2026-109618與CVE-2026-109619都還沒有被列進美國CISA的「已知遭利用漏洞」（KEV）名單。這跟「有人觀測到攻擊嘗試」並不衝突——探測／掃描行為跟「確認已造成實際入侵」是兩回事，前者幾乎在任何重大漏洞公開後都會立刻出現，後者才是KEV列入的門檻。
對防守方來說，與其糾結「到底有沒有人在打」，不如假設「一定會有人打」直接行動：先堵修補、再談歸因。
值得一提的是，即使在攻擊是否已經發生這件事上各家看法不同，Cloudflare仍選擇在第一時間就針對已知的攻擊特徵釋出WAF防護規則，提供給所有客戶（包含免費方案）使用，而不是等到有明確歸因才動作。這其實反映出資安產業面對這類重大揭露時的實務邏輯：情資本身可能需要時間才能收斂成一致的結論，但防護措施不能等共識出現才上線。對一般網站維運者來說，比起追蹤各家威脅情資的最新說法，優先把修補或暫時性防護機制部署上去，才是這個階段真正該做的事。
參考資料