Palo Alto Networks Unit 42 於二〇二六年十月二十三日更新威脅簡報，指 PHP 兩項遠程代碼執行漏洞 CVE-2026-109618 與 CVE-2026-109619（業界稱 PHP2Shell）CVSS 4.0 評為九點二；Cortex Xpanse 遙測顯示潛在暴露實例逾二千二百六十萬。簡報指已見概念驗證，至少一個歐洲政府網站預防性下線，並觀察到攻擊者以代理式人工智能平台做後滲透，一例在入侵約兩小時內取得密碼雜湊與多重要素認證秘密。來源真實性已驗證（Unit 42 官方簡報；PHP 官方安全公告列明修補版本）。香港大量 WordPress、電商與自研 PHP 站點須立刻盤點版本並升級。

Unit 42／官方：PHP2Shell 兩致命 RCE——CVSS 九點二、暴露逾二千二百六十萬；觀察代理式 AI 後滲透

Palo Alto Networks 旗下 Unit 42 於二〇二六年十月二十三日更新威脅簡報，聚焦 PHP 運行時兩項遠程代碼執行（RCE）漏洞：CVE-2026-109618 與 CVE-2026-109619，業界統稱 PHP2Shell。兩者均評為 CVSS 4.0 九點二。來源真實性已驗證（Unit 42 官方簡報原文）；修補版本以 PHP 官方二〇二六年十月二十一日安全公告為準。以下數字與事件描述僅取自上述主來源，不另推算市佔或未公布的受害機構名單。

PHP 仍驅動全球大量網站與內容管理系統。Unit 42 指 Cortex Xpanse 在簡報撰寫時已識別逾 二千二百六十萬 個潛在暴露實例；Palo Alto Networks 同系列公告亦以約 二千二百萬 暴露面說明手動補丁節奏難以單獨應付。對香港企業而言，這不是「又一個 CVE」，而是互聯網邊緣上高密度、可被自動化追打的運行時風險。

一、核心事件：兩致命 RCE、大規模暴露與代理式後滲透

Unit 42 行政摘要指出：

• CVE-2026-109618：在以 longjmp() 處理記憶體不足（OOM）錯誤時，請求記憶體因控制流程管理不當而處於未初始化狀態，攻擊者可藉 OOM 觸發穩定達成 RCE。
• CVE-2026-109619：致命錯誤處理後，全域記憶體仍指向已釋放區域，後續請求可能讀取或依該狀態分支，同樣可導致任意代碼執行。

簡報強調已見到相關漏洞的概念驗證；至少一個歐洲政府已預防性將網站下線。更關鍵的是十月二十三日更新內容：研究人員觀察到攻擊者使用代理式人工智能攻擊平台進行後滲透。Unit 42 描述一例針對歐洲政府實體的攻擊——在初始利用後約兩小時內，攻擊者已取得密碼雜湊與多重要素認證（MFA）秘密，並建立 NTLM 中繼通道進入 Active Directory，試圖提升至網域系統管理員權限。命令批次以 ==SHELLUSER==、==PASSWD== 等區隔標記包覆，輸出易於機器解析，並呈現短任務序列、失敗後快速轉向等代理式攻擊行為特徵。

PHP 官方安全公告（二〇二六年十月二十一日）呼籲所有對外提供網頁請求的 PHP 安裝立即更新，風險涵蓋 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed 等；官方認為 mod_php 風險最高，並指已有演示顯示未認證請求可在應用程式碼執行前觸發攻擊路徑。修補版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35；PHP 8.1 及更舊版本上游已停止更新，須依賴發行版／LTS 後移植或升級；安全團隊並為 7.4、8.0、8.1 提供最小源碼後移植，供自行編譯環境使用。官方同時強調：只有更新才是完整緩解；暫時組態措施僅降低特定攻擊路徑暴露，並不能令安裝變得安全。

二、技術原理深度解析

記憶體錯誤路徑上的 RCE

兩漏洞共同點，是 PHP 在異常中止請求時，未能安全清理或重置內部狀態。CVE-2026-109618 對應 OOM 路徑上「未完成初始化卻被清理邏輯當成有效」的損壞；CVE-2026-109619 則是請求結束後，工作者行程仍持有指向已釋放記憶體的狀態（含序列化語境、會話上傳進度等變體，業界技術分析多有描述）。由於 PHP 工作者通常跨請求重用，一次致命錯誤留下的殘態，可在後續請求被利用。

為何暴露面以「千萬」計

Unit 42／Palo Alto 以攻擊面管理遙測量化互聯網上可觸達的 PHP 實例。相對於近年若干企業設備漏洞常見的數萬級暴露，開放原始碼運行時的數量級完全不同；這也解釋為何虛擬修補、WAF 與資產盤點會與「立刻打補丁」並列為防禦敘事。Cloudflare 等邊緣業者亦公開表示，已在公開披露前部署 WAF 防護，並觀察到攻擊流量嘗試變種繞過——惟邊緣規則仍屬縱深防禦，不能取代升級 PHP。

代理式後滲透改變「發現到域管」的時間尺

Unit 42 十月二十三日更新把焦點從「能否 RCE」推進到「RCE 之後多久失去目錄控制權」。以區隔標記產出可解析偵察結果、短任務串行與快速轉向，符合代理編排特徵；這與傳統人手逐條敲命令的節奏不同，壓縮了藍隊的應變窗口。對已把身分、MFA 秘密與 AD 暴露在同一跳躍路徑上的環境，補丁延遲會直接放大目錄淪陷機率。

四、日常應用場景

1. 開發者與技術團隊

盤點所有對外與對內的 PHP 執行環境：容器基底映像、CI 的 php-version 釘選、發行版套件、以及仍自行編譯的 7.4／8.0／8.1。升級至官方列明的安全版本後，重啟每一個 PHP 工作者（FPM 池、Apache、FrankenPHP、LiteSpeed、Octane／RoadRunner／Swoole 等），再以版本與變更日誌核對證據。映像重建應阻止脆弱層被重新推進生產。

2. 企業與隱私敏感行業

金融、醫療、政府供應商與電商若以 WordPress、Magento 或自研 PHP API 對外服務，應優先關閉不必要的互聯網暴露，並把 PHP 版本納入漏洞管理 SLA。Unit 42 描述的後滲透路徑直指密碼雜湊、MFA 秘密與 AD——身分與特權存取治理必須與運行時補丁同步，而非只掃「網站首頁是否正常」。

3. 一般用戶與站長

中小企站長應向託管商確認共享主機／託管 WordPress 是否已套用 PHP 安全版本；僅開啟 WAF 或「虛擬修補」並不足夠。能暫時調整者，可參考 PHP 官方列出的組態緩解（例如在管理員層強制相關 memory_limit／上傳進度設定），但官方明文警告這些不能替代更新。

4. 香港與亞洲市場視角

香港大量中小企網站、內容管理與店舖系統仍建基於 PHP。二千萬級暴露面意味著掃描與自動化利用的經濟誘因極高；若再疊加代理式後滲透，由「網頁被掛馬」升級到「目錄與身分失守」的路徑更短。對同時營運多品牌站點、代理伺服器與辦公室 AD 的企業，應把 PHP 資產、邊緣防護與身分日誌串成同一事故劇本演練。

五、專業評價與潛在考量

優勢（就披露與防禦可操作性而言）

• Unit 42 同時給出 CVSS、技術機制、暴露量級，以及有時間尺度的代理式後滲透觀察，便於資安與管理層對齊優先級。
• PHP 官方公告清楚列出修補版本與「誰有風險」，並區分完整緩解與暫時措施。
• 邊緣 WAF／虛擬修補可爭取補丁窗口，適合香港多站點、多託管商並行升級的現實。

需要留意的地方

• CrowdStrike 等同業分析指，把概念驗證穩定轉成跨版本、跨應用的通用武器化並非trivial；短期野外「大規模一鍵 RCE」未必立刻出現，但 Unit 42 已記錄至少一例含代理式後滲透的利用鏈，不能以「難打」為由拖延。
• 暴露「實例數」是攻擊面遙測，不等於已全部被利用；惟優先修補仍應以可達性與身分資產價值排序。
• PHP 8.1 及更舊之上游停止更新，依賴發行版後移植者須向供應商核實，避免「套件號看起來很新、修補卻未納入」。

結語

PHP2Shell 把「開放原始碼運行時 × 千萬級暴露 × 代理式後滲透」三條線拧在同一事故時鐘上。對香港企業來說，下一步不是再等下一則威脅情報，而是完成版本盤點、升級重啟與身分路徑演練。若需要把對外應用、零信任邊緣與雲端工作負載納入可驗證的防護與遷移方案，可了解 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security ；若事故檢討後要在可控環境以私有模型輔助日誌研判與自動化應變劇本，亦可參考企業私有 LLM 全託管：https://ysk.hk/services/ai-automation 。

參考來源

1. Palo Alto Networks Unit 42｜Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619（Updated October 23, 2026）：https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/
2. PHP.net｜Security advisory: Critical remote code execution vulnerabilities, update now（2026-10-21）：https://www.php.net/archive/2026.php#2026-10-21-5
3. Palo Alto Networks｜Millions of PHP Instances Exposed - What Organizations Need To Do Right Now（2026-10-21）：https://www.paloaltonetworks.com/blog/2026/10/millions-of-php-instances-exposed-what-organizations-need-to-do-right-now/
4. Cloudflare｜Cloudflare deploys protections against php2shell vulnerability：https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
5. YSK Limited｜雲端遷移與網絡安全：https://ysk.hk/services/cloud-security