PHP Foundation 為兩項嚴重 PHP 遠端程式碼執行漏洞發布緊急修補程式

在兩個常用程式碼中的嚴重漏洞曝光後，機構正忙於採取措施保護自身。這些程式碼支撐着互聯網的大部分服務。PHP 腳本語言中發現的漏洞，可能讓攻擊者未經驗證便可遠端執行程式碼（RCE）。

星期三早上，PHP Foundation 為受影響版本發布修補程式，並表示使用 PHP 的機構「必須」立即安裝修補程式。該基金會指出，所有處理網絡請求的 PHP 安裝都面臨風險，包括 PHP-FPM、使用 mod_php 的 Apache、php-cgi、FrankenPHP 和 LiteSpeed。基金會認為 mod_php 的風險最高，因為未經驗證的請求可在應用程式程式碼執行前觸發漏洞。

漏洞曝光後，歐洲一些政府網站（包括荷蘭和芬蘭的網站），以及全球其他機構的網站，均為審慎起見而下線。

PHP 就是「網絡本身」

PHP 是一種廣泛使用的開源伺服器端腳本語言，支撐着 WordPress 等網站；WordPress 支援網絡上 43% 的網站。其他例子包括 Mailchimp、Drupal、Magento、Laravel，以及 Slack 和 Zoom 的部分服務，還有許多其他網站和服務。

荷蘭國家網絡安全中心（NCSC-NL）在其對這些漏洞的説明中，將它們統稱為 PHP2Shell，並指出影響不限於網站。PHP 亦嵌入設備、網絡裝置、管理介面及其他供應商產品之中，管理員未必能直接更新當中的 PHP。追蹤歐盟網絡安全威脅的機構 CERT-EU 亦警告，許多商用及開源產品均以 PHP 作為後端技術；即使這些產品沒有直接公開 PHP 安裝，也可能受到漏洞影響。

這令漏洞更加嚴重。CVE-2026-109618在通用漏洞評分系統（CVSS）中的嚴重程度評分為 9.2；攻擊者可能利用記憶體耗盡處理（OOM）期間的記憶體損毀，遠端執行程式碼。當實體 RAM 和交換空間耗盡時，作業系統（OS）和應用程式會採用 OOM 處理策略。

CVE-2026-109619的評分同為 9.2；同一工作程序的後續請求重用過時、由請求持有的全域狀態，可能導致遠端程式碼執行。

PHP Foundation 指出，兩個漏洞都存在於幾乎每個請求都會觸及的部分：記憶體管理和錯誤處理。這令兩個漏洞都極為嚴重，也令修復工作變得困難，因為修復可能影響相容性或效能。機構應先假設自己已暴露於風險之中。

Forrester 資深分析師 Madelein van der Hout 表示：「這些漏洞之所以重要，在於它們所在的位置。」PHP 支撐 70% 的網站，造成極大的集中風險。

她表示：「只檢查公司網站並不足夠。機構需要確認自身在哪些地方暴露於風險，並優先處理面向互聯網的系統。」

受影響的機構應更新至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35。PHP Foundation 表示，Linux 和長期支援（LTS）供應商已預先收到修補程式，因此機構應向供應商查詢修正措施。

PHP 8.1 及其他已結束生命週期的版本，已不再獲 PHP 專案提供更新；不過，部分發行版供應商及長期支援（LTS）廠商會提供回移植修正，因此仍在使用不受支援版本的機構，也應向其供應商查詢。

PHP Foundation 建議，依賴由義工維護的 rpms.remirepo.net 的用戶，應改用發行版套件或從原始碼建置，以便立即套用更新。

CERT-EU 表示，未能立即修補的用戶應採取其所述的預防措施以降低風險；但該機構警告，這些緩解措施並不能確保系統安全。

執行階段應用程式安全公司 OX Security 行政總裁 Neatsun Ziv 表示：「這就是影響整個互聯網規模的漏洞。當如此普及的技術出現漏洞，影響範圍就不會只限於某個產品或某個行業，而是整個網絡。」

他所屬公司的研究人員獨立重現了這些漏洞，並發現易受攻擊的功能預設為啟用，而且自 PHP 5.4 版起便一直存在。

不過，專家強調，修補只是應對措施之一。Forrester 的 van der Hout 指出，速度至關重要；保安團隊需要找出所有運行 PHP 的位置，優先處理暴露於外的系統，盡快套用官方修正，並調查有否遭入侵的跡象。

她表示：「修補程式能修復漏洞，但未必能撤銷攻擊者可能已取得的存取權。」

下線不代表遭入侵

專家表示，鑑於有傳聞指暗網上已有漏洞利用程式，先將服務下線以作保護，再進行修補，是務實的做法。

Forrester 的 van der Hout 強調，網站下線不代表遭到入侵。如果機構尚未能修補可能存在漏洞的系統，或未能為其提供足夠保護，暫時將系統下線可以是「與風險相稱的決定」。換言之，機構寧願短暫失去服務可用性，也不願冒可能遭受嚴重入侵的風險。

van der Hout 表示，歸根究柢，這考驗的是營運韌性，而不只是修補程式管理。機構必須決定能否讓服務繼續運作，以及在有需要時由誰決定將服務下線。

她表示：「暫時關閉服務可能是正確的決定，但這顯示，即使未確認遭到入侵，軟件漏洞也可能導致業務中斷。」

AI 在防禦及駭客攻擊中的角色

OpenAI 刊登了一篇網誌，詳述其在 PHP 應對事件中的角色，並解釋紅隊測試機構 Calif 如何在 OpenAI 的 Patch the Planet 計劃中，使用 GPT‑5.6 Sol 找出一個嚴重漏洞。Wiz 亦獨立發現並通報了兩個漏洞；OpenAI 的合作夥伴則在 PHP 公佈漏洞前提供研究、技術支援及協調工作。

OpenAI 正以 Codex 技能形式分享一款 PHP 版本檢查工具，協助機構識別易受攻擊的 PHP 版本，並套用合適的更新。

OpenAI 表示：「考慮到這些漏洞的嚴重程度，以及 PHP 的廣泛使用，我們認為這是近年來影響最深遠的安全問題之一。」

該公司亦指出，這是AI 在網絡安全中所扮演角色的一個轉捩點；前沿 AI 在攻擊者之前發現了這些漏洞，讓維護者搶得先機，獲得一段「防守方窗口期」。

OpenAI 指出：「這突顯了 AI 如何發掘可能造成互聯網規模影響的安全漏洞，但同樣的能力亦可協助攻擊者迅速開發攻擊工具和漏洞利用程式。」

Matt Saunders，全球科技供應商 The Adaptavist Group 的 DevOps 主管，強調了後一點：「漏洞一經公佈，大批 AI 機械人便會搜尋可供利用的系統。」他指出，這些機械人可以將多種利用較低嚴重程度漏洞的攻擊，與這些新出現的嚴重漏洞串連起來，入侵機構。

他説：「如今，選擇使用 AI 強化攻擊的人士都能使用這些攻擊，因此安全事故的波及範圍可能大得多。」

本文原載於 CSOonline。