10 月底，資安界接連傳出好幾起令人擔憂的消息，其中最受關注的，就是 PHP 被發現了兩個重大安全漏洞，可能影響全球約 70% 的網站。
這兩個漏洞分別是 CVE-2026-109618 和 CVE-2026-109619，統稱為 PHP2Shell。
這些漏洞最危險的地方在於，駭客可能不需要登入帳號，也不需要通過任何身分驗證，就能遠端在伺服器上執行惡意程式碼。
10 月 21 日，PHP 開發團隊緊急釋出安全更新，除了修補目前仍受支援的 PHP 8.2～8.5 版本，也特別替已停止支援的 PHP 7.4、8.0 和 8.1 版本提供修補程式。
當時資安專家就預測，更新程式一旦公開，駭客可能在短短 15 分鐘內，就開始攻擊尚未修補漏洞的伺服器。
更令人擔心的是，Amazon 甚至指出，早在修補程式發布前四天，就已經偵測到有人嘗試利用這些漏洞發動攻擊。
由於事件影響範圍相當廣，有些機構甚至提前採取防範措施。例如，部分國家的政府服務網站為了避免遭到攻擊，選擇暫時關閉服務。就連維基百科的專案管理與錯誤追蹤系統，也一度暫停運作。
距離安全更新發布已經快兩週，但根據 Censys 的統計資料，在全球約 4,600 萬台可被掃描到、使用有漏洞 PHP 版本的伺服器中，仍有高達 2,900 萬台尚未修補漏洞。
修補程式發布後，我們就已經針對這兩個漏洞進行詳細分析，並分別提供企業及一般使用者相關的防護建議。
這次我們將進一步整理目前已知的最新威脅情況，以及企業還需要採取哪些額外的安全措施。
PHP2Shell 修補程式發布後，發生了什麼事？
PHP 爆出重大漏洞的消息後，資安圈立刻出現大量討論與研究。
研究人員發現，網路上出現大量利用漏洞發動攻擊的嘗試，而且在 AI 技術的協助下，各種新的漏洞利用程式也不斷被製作出來。
Palo Alto Networks 旗下的一個單位，甚至一度表示歐洲某政府機關遭到 PHP2Shell 攻擊，不過後來又撤回了這項說法。
事實上，直到後來才陸續出現比較明確的證據，證實這些漏洞確實能被用來發動實際攻擊。
除此之外，研究人員還發現了第三個尚未修補的 PHP 漏洞。
第三個漏洞曝光，但目前還沒有修補程式
10 月 23 日星期五，PHP 開發團隊再次發出安全警告，指出又發現一個新漏洞：CVE-2026-115560。
這個漏洞同樣可能讓駭客遠端執行惡意程式碼。
不過，想成功利用這個漏洞，必須符合一種非常特殊的系統設定與應用程式程式碼組合。
由於這種情況相當少見，PHP 開發團隊認為暫時沒有必要發布緊急修補程式，而是打算按照原本的更新時程進行修補。
在正式修補前，官方建議使用者先停用 PHP 的 session.upload_progress.enabled INI 設定，以降低遭到攻擊的風險。
PHP 漏洞開始出現實際遭利用的證據
接下來回到威脅程度更高的 PHP2Shell 漏洞。
直到 10 月 24 日，資安研究人員才取得比較明確的證據，證實 PHP2Shell 已經被實際用於攻擊。
Perplexity 研究人員 Adel Karimi 架設的誘捕伺服器（Honeypot），使用 PHP 8.4.26 版本，並模擬一般網站的運作環境。
結果，這些誘捕伺服器記錄到，來自兩個不同 IP 位址的成功攻擊。
研究人員分析後發現，攻擊過程與 CVE-2026-109618 的漏洞利用方式相符。
不過，這裡有個重要細節需要注意。
這些誘捕伺服器使用的是 Apache 的 mod_php 模組，而這種設定剛好是駭客比較容易成功利用漏洞的環境。
換句話說，雖然已經證實漏洞能被成功利用，但不代表所有 PHP 伺服器都能用同樣的方式入侵。
接著在 10 月 26 日，美國網路安全暨基礎設施安全局（CISA）也正式將 CVE-2026-109618 和 CVE-2026-109619 加入已知遭利用漏洞清單（KEV）。
這也代表 PHP2Shell 已經不只是理論上的安全風險，而是確實存在的資安威脅。
PHP2Shell 已造成實際入侵事件
10 月 26 日，科技公司 Dream 公布了一起實際攻擊事件。
調查發現，美國、日本、台灣及南韓共有 25 台防火牆與管理伺服器遭到入侵。
其中三台設備所在的環境，疑似與美國政府機關有關。
這次攻擊中，駭客不只利用 PHP2Shell，還搭配了一個名為 Fragnesia 的 Linux 核心漏洞（CVE-2026-46300）。
透過這兩個漏洞的組合，駭客成功取得系統的完整管理權限，並進一步竊取多項敏感資料，包括 LDAP 服務帳號密碼、使用者與群組清單、完整的網路設定，以及私密金鑰。
Dream 一開始並沒有公布遭入侵設備的製造商。
直到 10 月 29 日更新調查報告時，才證實，遭到攻擊的是使用特定 PAN-OS 版本的 Palo Alto Networks 設備。
Palo Alto Networks 隨後也確認，確實有管理介面直接暴露在網際網路上的設備遭到攻擊。
因此，官方緊急呼籲客戶採取以下措施：
- 關閉管理介面的公開網際網路存取權限。
- 限制只有受信任的內部 IP 位址可以連線。
- 儘速安裝相關安全修補程式。
為什麼目前實際入侵事件沒有想像中多？
雖然網路上出現越來越多 PHP2Shell 漏洞利用程式，但截至目前，並沒有出現大規模網站遭入侵的情況。
外界原本擔心，大量使用 PHP 的伺服器可能會接連遭到攻擊，但目前仍沒有足夠證據證實這種大規模入侵已經發生。
即使是 Palo Alto Networks 的案例，實際攻擊規模也相對有限。
在大約 19,000 台被發現的設備中，駭客只挑選了其中 240 台進行攻擊，因為這些設備使用的軟體版本，剛好符合他們手上漏洞利用程式的攻擊條件。
這也說明了一件事：
目前的 PHP2Shell 攻擊工具，並不是對所有 PHP 伺服器都有效。
駭客如果想成功利用漏洞，還必須考慮目標環境的多項條件，例如：
- PHP 實際使用的編譯版本。
- 系統記憶體設定。
- 伺服器處理 HTTP 請求的方式。
- 網站應用程式本身的設計與設定。
這些因素都可能影響攻擊是否能夠成功。
不過，這並不代表企業可以掉以輕心。
即使目前沒有出現大規模入侵事件，漏洞仍然存在，企業還是必須做好相關防護。
個企業該如何防範 PHP2Shell 攻擊？
最重要的防護原則其實沒有改變，就是：
儘快更新 PHP，安裝最新的安全修補程式。
企業可以前往 PHP 官方網站，下載最新的安全版本。
不過，光是安裝更新還不夠。
企業還需要全面檢查自己的系統，確認所有使用 PHP 的元件是否存在漏洞，並仔細調查是否已經出現遭到入侵的跡象。
為什麼還需要安裝第二波 PHP 安全更新？
PHP 開發團隊在發布第一波緊急修補程式後，短短五天內，又推出了第二波安全更新。
原因是第一波修補 PHP2Shell 的更新，並沒有涵蓋第三方函式庫 Brotli 中的另一個漏洞：CVE-2026-111497。
這個漏洞可能讓駭客透過特別設計的壓縮回應內容發動攻擊。
當 PHP 處理來自外部伺服器的這類惡意壓縮資料時，就可能觸發漏洞，導致攻擊者成功執行惡意程式碼。
因此，PHP 開發團隊在 10 月 25 日發布的新版本中，也一併更新了 Brotli 函式庫，修補這項安全問題。
文中列出的最新 PHP 版本包括：
| PHP 分支 | 修補後版本 |
| PHP 8.2 | 8.2.35-1 |
| PHP 8.3 | 8.3.36-1 |
| PHP 8.4 | 8.4.27-1 |
| PHP 8.5 | 8.5.12-1 |
而且，早在 10 月 26 日，就已經記錄到第一起利用這個漏洞的攻擊行為。
因此，企業千萬不要拖延更新，以免讓系統持續暴露在風險當中。
如何偵測 PHP2Shell 攻擊？
除了更新系統，企業也應該主動監控伺服器與網路流量，留意是否出現異常行為。
以下幾種情況，都可能是 PHP2Shell 攻擊或入侵的警訊：
- 異常的 POST 請求： 例如包含 multipart/form-data 內容類型的可疑 HTTP 請求。
- 可疑的上傳參數： 例如 PHP_SESSION_UPLOAD_PROGRESS 與檔案上傳參數出現不尋常的組合。
- 不正常的請求流量： 例如請求資料大小異常，或短時間內突然出現大量請求。
- 伺服器錯誤訊息： 例如出現 HTTP 500 錯誤，同時伴隨 PHP 記憶體不足的訊息。
如果發現這些情況，就應該進一步調查，確認是否有人正在嘗試利用漏洞發動攻擊。
卡巴斯基如何協助企業偵測 PHP2Shell 威脅？
卡巴斯基提供多種企業資安解決方案，可以在攻擊的不同階段協助企業發現異常活動，降低遭到入侵的風險。
可以監控 Linux 和 Windows 網頁伺服器上的可疑活動，一旦偵測到異常行為，就能即時發出警示，協助資安人員及早發現潛在威脅。
2. Kaspersky Anti Targeted Attack（KATA）
搭配網路偵測與回應（NDR）模組，可以分析網路流量，檢查是否有人正在嘗試利用上述 PHP 漏洞發動攻擊。
3. Kaspersky Vulnerability Management
協助企業找出系統中存在安全漏洞的軟體版本，讓 IT 人員能及早掌握風險，並安排必要的安全更新。
4. Kaspersky Managed Detection and Response（MDR）
透過持續監控系統行為，辨識遠端程式碼執行（RCE）攻擊常見的異常活動，協助偵測有人利用 CVE-2026-109618 和 CVE-2026-109619 漏洞發動攻擊的情況。
卡巴斯基已經針對 PHP2Shell 更新相關偵測規則，讓企業能透過集中分析安全事件與系統日誌，更有效地找出與 PHP2Shell 攻擊有關的可疑活動。
想進一步了解卡巴斯基如何偵測及防範 PHP 漏洞攻擊，可以參考我們的資安研究部落格 Securelist，查看更詳細的技術分析。
重點整理
這次 PHP2Shell 事件最值得注意的地方，就是漏洞影響範圍非常廣，而且已經出現實際遭到利用的案例。
雖然目前還沒有發生大規模入侵事件，但全球仍有大量伺服器尚未完成修補，代表潛在風險依然存在。
對企業來說，除了儘快更新 PHP 版本，更重要的是確認系統過去是否已經遭到入侵，並持續監控可疑活動。
畢竟，安裝修補程式只能防止漏洞繼續被利用，卻不代表先前已經發生的入侵就會自動消失。
資料來源: PHP2Shell: what we know about the threat two weeks later | Kaspersky official blog