更新時間：2026/10/22 10:26:41
發佈時間：2026/10/22 10:26:41
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1-5]
PHP存在兩項遠端程式碼執行漏洞，亦被稱為PHP2Shell，說明如下：
1. CVE-2026-109618：存在記憶體不足（Out-of-Memory，OOM）處理異常漏洞。PHP於處理記憶體不足錯誤時，部分情境未能正確處理請求中斷，導致請求記憶體未完成初始化，後續清理程序存取該記憶體時，可能造成遠端程式碼執行。
2. CVE-2026-109619：存在全域狀態（Global State）處理異常漏洞。PHP於部分情境下未正確重設全域狀態，導致後續請求在初始化完成前存取已釋放記憶體中的殘留狀態，可能造成遠端程式碼執行。
二、已揭露攻擊活動說明
1. Cloudflare已觀察到針對PHP2Shell漏洞的攻擊活動，並持續因應新出現的攻擊手法調整防護措施。[6]
三、SSVC漏洞處置決策方法
1. CVE-2026-109618
利用狀況（Exploitation）:無（None）
可否自動化利用（Automatable）:否（No）
技術影響（Technical Impact）: 完全控制（Total）
2. CVE-2026-109619
利用狀況（Exploitation）:無（None）
可否自動化利用（Automatable）:否（No）
技術影響（Technical Impact）: 完全控制（Total）
▶ 漏洞資訊
⌵
名稱：
CVE-2026-109618、CVE-2026-109619
描述：
使用版本：CVSS 4.0-B
分析分數：9.2、9.2
參考來源：PHP Group
▶ 影響平台
⌵
影響平台-系統：
本漏洞影響PHP及部分使用PHP元件之產品，主要受影響版本說明如下：
1. PHP 8.2系列之8.2.35以前版本受影響，建議升級至8.2.35或以上修補版本。
2. PHP 8.3系列之8.3.36以前版本受影響，建議升級至8.3.36或以上修補版本。
3. PHP 8.4系列之8.4.27以前版本受影響，建議升級至8.4.27或以上修補版本。
4. PHP 8.5系列之8.5.12以前版本受影響，建議升級至8.5.12或以上修補版本。
5. PHP 8.1及更早版本已停止PHP專案官方安全更新，建議升級至受支援且已修補之版本。
6. Palo Alto Networks PAN-OS 10.2、11.1、11.2、12.1及12.2系列所有版本受影響，目前尚未發布修補版本，建議依據原廠公告採取緩解措施，並持續關注修補版本發布情形。[7]
7. Palo Alto Networks Panorama所有版本受影響，目前尚未發布修補版本，建議依據原廠公告採取緩解措施，並持續關注修補版本發布情形。[7]
註：未列於本文之PHP相關產品及版本，建議參考各廠商官方安全公告確認是否受影響，並儘速套用相關修補更新。
▶ 建議措施
⌵
1. 官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2. 據情資顯示，攻擊者極可能已使用AI工具，根據本次更新前後的程式碼差異製作自動化攻擊方式。如無法即時更新，建議評估暫時停止相關服務或採取網路隔離措施，以降低遭攻擊風險。
3. 針對無法立即更新之PHP環境，建議參考原廠公告評估適用之暫時性緩解措施，包括調整記憶體限制、限制HTTP請求大小及停用特定功能等。上述措施無法完整修補漏洞，仍應儘速套用官方安全更新。
4. 建議應確認資通設備、應用程式是否使用PHP，並持續關注修補版本發布情形。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://nvd.nist.gov/vuln/detail/CVE-2026-109618 | NVD（CVE-2026-109618） |
| 2 | https://nvd.nist.gov/vuln/detail/CVE-2026-109619 | NVD（CVE-2026-109619） |
| 3 | https://www.php.net/archive/2026.php#2026-10-21-5 | PHP（官方緊急安全公告） |
| 4 | https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w | PHP（CVE-2026-109618安全公告） |
| 5 | https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp | PHP（CVE-2026-109619安全公告） |
| 6 | https://blog.cloudflare.com/php-vulnerabilities-waf-protection/ | Cloudflare（PHP2Shell攻擊活動及防護說明） |
| 7 | https://security.paloaltonetworks.com/CVE-2026-109618 | Palo Alto Networks（產品影響及緩解措施） |
情資編號：
FISAC-200-202610-0012
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞