CISA 將 PHP2Shell 漏洞列入主動攻擊清單：蜜罐已被成功 RCE，影響 3250 萬台伺服器

發生了什麼

想像你管理一台執行 PHP 網站的伺服器，沒有開放 SSH、沒有預設密碼、防火牆設定正確。你以為只要不讓攻擊者進來，伺服器就是安全的。但攻擊者不需要進來——他只要送一個精心構造的 HTTP 請求，就能觸發 PHP 內部的記憶體錯誤，遠端執行他想要的程式碼。

2026 年 10 月 27 日，美國 CISA（Cybersecurity and Infrastructure Security Agency） 將 PHP 的兩個 未經身分驗證遠端程式碼執行漏洞 加入 Known Exploited Vulnerabilities（KEV）清單，確認已有攻擊者主動利用。這兩個漏洞分別為 CVE-2026-109618 與 CVE-2026-109619，CVSS 評分皆為 9.2。

來源：本文整理自 The Hacker News 於 2026 年 10 月 27 日發布的報導。原文連結，原文發布日期為 2026 年 10 月 27 日。

Perplexity 的偵測與回應負責人 Adel Karimi 在 10 月 24 日確認，蜜罐系統偵測到成功的 RCE 攻擊。PHP 是全球約 70% 網站使用的伺服器端語言，Censys 估計全球仍有超過 3250 萬台 PHP 服務執行受影響版本。

兩個漏洞：記憶體錯誤與狀態殘留

這兩個漏洞的共同特徵是不需要身分驗證，攻擊者只要能送 HTTP 請求到 PHP 伺服器，就能觸發漏洞。

CVE-2026-109618：Out-of-memory corruption

這是一個記憶體配置錯誤漏洞。PHP 在處理某些請求時，可能會錯誤地分配或釋放記憶體，導致記憶體損壞。攻擊者可以利用這個漏洞控制記憶體內容，進而執行任意程式碼。

CVE-2026-109619：Stale internal request-state

這是一個請求狀態殘留漏洞。PHP 在處理多個請求時，可能會保留前一個請求的內部狀態，導致狀態混淆。攻擊者可以利用這個漏洞讓 PHP 錯誤地信任或執行惡意資料。

兩個漏洞皆允許未經身分驗證的遠端程式碼執行，意味著攻擊者不需要任何帳號密碼，只要能連到伺服器就能執行攻擊。

蜜罐確認：已有成功的 RCE 攻擊

CISA 將漏洞加入 KEV 清單的原因，是 Perplexity 的安全研究員 Adel Karimi 在 10 月 24 日確認蜜罐系統偵測到成功的遠端程式碼執行攻擊。

Karimi 指出，這不只是讓 PHP 崩潰的概念驗證，而是真正能執行程式碼的攻擊：

"This is now confirmed RCE with usable memory disclosure, not just a crash followed by a suspicious process. The response delivered an 800 KiB decoded cookie dump, and a function address derived from that dump using the public exploit's offsets appears in the subsequent execution payload."

攻擊者成功從受害系統中取得 800 KiB 的 cookie 傾印，並從中取得函數位址，用於後續的程式碼執行。

Karimi 也補充，這個攻擊是在單一 worker 的 mod_php 環境下成功，但不代表在所有 PHP 部署環境（例如多 worker、不同編譯選項或應用程式）都能穩定成功。

影響範圍：全球 3250 萬台伺服器

PHP 是目前使用最廣泛的伺服器端語言之一，根據報導，全球約 70% 的網站使用 PHP。Censys 的統計顯示，截至報導發布時，全球仍有超過 3250 萬台 PHP 服務執行受影響版本。

PHP 基金會已在 2026 年 10 月 21 日發布修補版本：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

美國聯邦機構必須在 2026 年 10 月 29 日前套用修補程式。

受影響產品與廠商公告

由於 PHP 被廣泛使用於各種產品與服務，多家軟硬體廠商已發布公告，提醒客戶檢查是否受影響並套用修補程式。報導列出的廠商包括：

• 網路設備：Arista Networks、Citrix、F5、NETGEAR、Ruckus Wireless、SonicWall
• 工業控制系統：ABB、Belden、Dormakaba、Hitachi Energy、HMS Networks、Johnson Controls、Moxa、Rockwell Automation、Schneider Electric、Siemens、Wibu-Systems
• IT 設備與軟體：Canon、Dell、HP、HPE、Hikvision、Huawei、IBM、Ivanti、Mitel、Okta、QNAP、Splunk、Synology、Veeam
• 內容管理與開發平台：Craft CMS、Drupal、ExpressionEngine、October CMS、WordPress
• 企業軟體：Broadcom、Salesforce

附帶漏洞：Brotli 解碼器的 Broccoli2Shell

報導還提到，PHP 基金會在 2026 年 10 月 26 日發布 Windows 版本 8.5.12-1、8.4.27-1、8.3.36-1 與 8.2.35-1，修補另一個漏洞 CVE-2026-111497。

這是 Brotli 解碼器的 out-of-bounds write 漏洞，可能導致權限提升與未經身分驗證的遠端程式碼執行。這個漏洞也被稱為 Broccoli2Shell、HTTP2Shell 與 Node2Shell。

Brotli 是一個壓縮演算法函式庫，受影響版本包括 1.0.3 至 1.0.9、1.1.0 與 1.2.0。修補版本為 1.0.10、1.1.1 與 1.2.1。除了 PHP，Node.js、Bun、Envoy Proxy、Istio、.NET、Python 等專案也受影響。

在 PHP Windows 版本中，攻擊者可以透過 cURL 擴充功能觸發這個漏洞，前提是啟用自動 HTTP 回應解壓縮（預設為關閉）。

如何偵測與修補

立即檢查版本

執行以下指令檢查 PHP 版本：

php -v

如果版本低於以下修補版本，請立即升級：

• 8.5.12（或 Windows 8.5.12-1）
• 8.4.27（或 Windows 8.4.27-1）
• 8.3.36（或 Windows 8.3.36-1）
• 8.2.35（或 Windows 8.2.35-1）

檢視日誌尋找攻擊跡象

檢視伺服器的存取日誌與錯誤日誌，尋找：

• 異常的 HTTP 請求：特別大的 POST 請求、異常的 cookie 或 header
• 記憶體相關錯誤：segmentation fault、memory corruption 相關訊息
• 10 月 21 日前後的可疑活動：修補版本發布前後是攻擊者嘗試利用的窗口期

檢查相依產品的公告

如果你使用的產品或服務內建 PHP（例如網路設備、CMS、企業軟體），不只要升級 PHP，還要檢查廠商是否已發布專屬的修補公告。

例如，如果你使用 WordPress、Drupal 或 Craft CMS，請檢查官方是否已發布更新。如果你使用 QNAP NAS、Synology NAS 或 Hikvision 監控設備，請檢查廠商支援頁面。

你可以學到什麼

站在攻擊者的角度：我不需要猜密碼、不需要繞過防火牆、不需要社交工程。只要目標執行受影響的 PHP 版本，我就能送一個精心構造的 HTTP 請求，觸發記憶體錯誤，遠端執行我想要的程式碼。蜜罐已經被打穿，證明這不是理論上的漏洞，而是真正能用的攻擊。全球有 3250 萬台伺服器還沒修補，我有足夠的目標可以選。

如果你管理 PHP 伺服器

1. 立即升級 PHP：這是最高優先度的修補，不要等到下一個維護窗口。
2. 檢視日誌：尋找 10 月 21 日前後的可疑活動，確認是否已被入侵。
3. 檢查相依產品：不只升級 PHP 本身，還要檢查使用 PHP 的產品是否已發布修補。
4. Windows 使用者額外修補 Brotli：確認使用的是包含 Brotli 修補的 Windows 版本。
5. 監控 CISA KEV 清單：定期檢視 CISA 的 Known Exploited Vulnerabilities 清單，優先修補已被攻擊的漏洞。

蜜罐已被打穿，3250 萬台伺服器暴露在風險中。今天就修補。