PHP 於 10 月 21 日發布安全修補程式，修補兩個被暱稱為 PHP2Shell 的重大漏洞。這些漏洞可能讓未經授權者接管伺服器，促使各國政府與組織將網站下線。受影響的版本包括 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35；其伺服器端語言已知的網站中，約有 70% 由這些版本提供支援。Cloudflare 執行長 Matthew Prince 表示，漏洞公開後出現數百萬次利用嘗試；德國聯邦資訊安全局（BSI）和日本政府則表示，尚未確認任何成功入侵事件。PHP 基金會表示，該基金會在 2024 年發現其中一個漏洞的初步跡象，但因決策困難和資源有限而延遲修補。
PHP 發布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本的修補程式
根據發布說明，PHP 於週三發布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本。該組織表示：「沒有任何完整有效的緩解措施，更新是唯一安全的選擇。」截至週四，PHP 尚未發布後續修補程式。PHP 8.1 及更早版本已不再獲得官方更新，不過 PHP 安全團隊已為自行編譯軟體的使用者發布 7.4、8.0 和 8.1 版本的修補程式。託管公司、IT 部門和網站擁有者必須手動安裝修補程式並重新啟動軟體，修補才會生效。
Cloudflare 記錄到數百萬次漏洞利用嘗試
Cloudflare 執行長 Matthew Prince 表示，在漏洞公開前的 10 小時內，他的網路偵測到數千次漏洞利用嘗試。漏洞公開後的 45 分鐘內，嘗試次數激增至數萬次；兩小時內達到數十萬次，之後更攀升至數百萬次。亞馬遜表示，其誘餌伺服器在 10 月 17 日記錄到一次漏洞利用嘗試，當時距離漏洞公開還有四天。亞馬遜資訊安全長 CJ Moses 寫道：「目前仍不清楚攻擊者如何在漏洞公開前取得漏洞利用相關資訊」，並補充說，PHP2Shell「已在實際攻擊中遭到廣泛利用」。
德國和日本表示尚未確認入侵事件
德國聯邦網路安全機構 BSI 副主席 Thomas Caspers 表示，該機構觀察到攻擊，但沒有發現成功利用這些漏洞的情況，並指出：「利用漏洞似乎比預期的要複雜一些。」日本內閣官房長官木原稔也確認，尚未查證有任何利用這些漏洞的攻擊。
PHP 基金會揭露 2024 年安全流程失誤
PHP 基金會週三發布部落格文章，表示其 2024 年的安全工作「發現了 CVE-2026-109618 背後 OOM 問題的初步跡象」；這裡指的是造成其中一個漏洞的記憶體耗盡錯誤。根據該基金會的說法，團隊提出了「幾種相互競爭的解決方案」，但「難以在這些方案之間做出選擇，也擔心採用錯誤方案可能帶來的後果」。該基金會寫道：「我們不會假裝事情不是如此：這次延遲是結構性失誤，既源於安全團隊的決策流程，也源於資源不足。」過去要求取得共識的安全團隊，現在將改以多數決做出決定。
漏洞公開後，組織將網站下線
英國國家網路安全中心建議組織考慮「先將系統下線，直到能徹底緩解風險」。根據 TechRadar 報導，週三下線的網站包括 Wikimedia 服務、遍布數十個國家的 Orange 網站和應用程式、32 個英國政府服務、荷蘭醫院，以及德國聯邦 IT 服務供應商 ITZBund。英國預算責任辦公室和愛丁堡市議會的網站於週四恢復上線。根據 DutchNews 報導，荷蘭匿名犯罪舉報網站 Meld Misdaad Anoniem 於週四上午仍處於離線狀態。
資安公司建議稽核伺服器並輪替憑證
資安公司 Tag1 建議管理員檢查未經授權使用者上傳的 PHP 檔案、檢視新增的排程工作和帳戶，並輪替曾執行易受攻擊版本之對外伺服器上的資料庫密碼和 API 密鑰。資安公司 Mallory 統計出約 88.4 萬台對網際網路開放、執行已不再獲得官方修補程式的 PHP 版本的主機。亞馬遜建議防禦人員：「不應假設漏洞公開日期就是最早的漏洞利用日期」，並建議檢查自至少 10 月 17 日起執行過易受攻擊版本的所有伺服器。
常見問題
10 月 21 日有哪些 PHP 版本獲得安全修補程式？
PHP 於週三發布 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，以修補 PHP2Shell 漏洞。PHP 表示，沒有任何完整有效的緩解措施，更新是唯一安全的選擇。
PHP2Shell 漏洞公開後，Cloudflare 偵測到多少次漏洞利用嘗試？
Cloudflare 執行長 Matthew Prince 表示，漏洞公開前的 10 小時內有數千次嘗試；漏洞公開後的 45 分鐘內增至數萬次，兩小時內達到數十萬次，之後更攀升至數百萬次。
PHP 漏洞公開後，哪些組織將網站下線？
根據 TechRadar 報導，週三將網站下線的服務和組織包括 Wikimedia 服務、遍布數十個國家的 Orange 網站、32 個英國政府服務、荷蘭醫院，以及德國聯邦 IT 服務供應商 ITZBund。
