PHP2Shell 致命漏洞：藏了十年的記憶體破綻，讓七成網站裸奔

PHP 核心爆出兩組致命漏洞 CVE-2026-109618 與 CVE-2026-109619，CVSS 9.2，未經驗證就能遠端執行程式碼，10 月 21 日已緊急釋出修補。

PHP 這門撐起全球大多數網站的語言，在 10 月 21 日被迫緊急止血。資安公司 Wiz 的研究團隊揭露，PHP 核心引擎裡存在兩組重大弱點，編號 CVE-2026-109618 與 CVE-2026-109619，兩者的嚴重程度都被評為 CVSS 9.2。攻擊者完全不需要帳號密碼，就能對有漏洞的伺服器執行任意程式碼，等於整座機房大門敞開。

破綻藏在十多年的老程式碼裡

這次的漏洞並非出在某個外掛或應用程式，而是語言執行引擎本身。Wiz 指出，問題根源是 PHP 在處理「請求中途夭折」的情境——最常見的是記憶體耗盡導致的致命錯誤。當請求在半路斷氣，PHP 會留下陳舊的指標或未清理乾淨的內部狀態，後續由同一個工作進程處理的請求，便可能踩進這塊已回收的記憶體。其中一組漏洞涉及上傳進度反序列化的釋放後使用，另一組則牽涉錯誤回溯與 OPcache 的類型混淆。

正因為弱點位在引擎層，Wiz 直言：哪怕只是印出「Hello World」的陽春程式，只要跑在受影響的 PHP 版本上，一樣暴露在攻擊之下。從 5.4 版起、過去十年發行的每一代 PHP 都至少中了一組。這樣的結論讓「我的外掛沒問題」這類安慰徹底失效——這回出事的是地基，不是裝潢。

前沿 AI 模型一周揪出陳年老蟲

耐人尋味的是，這批埋了十多年的蟲，是被 AI 翻出來的。Wiz 動用了自家的 Agent 框架 Wiz Atlas，搭配 Gemini 4 Argon 與 GPT-5.6 Sol 等前沿模型，不到一周就把漏洞鍊串成可用的攻擊腳本，並在 WordPress、Drupal、Joomla 等主流系統的最新容器映像上實證成功。Google 也證實出動 Gemini 模型協助評估攻擊情境與驗證修補；OpenAI 則透露，過去兩個月一直在幕後協調維護者、資安廠商與研究人員，趕在公開前備好修補與緩解方案。

這起事件像是一面鏡子：AI 既能幫防守方更快揪出老問題，也意味著同樣的能力遲早會落到攻擊者手裡。Cloudflare 執行長 Matthew Prince 就表示，公開披露前後，相關的攻擊探測明顯升溫。

修補與官方警告

PHP 官方已在 10 月 21 日釋出修補版，分別是 8.5.12、8.4.27、8.3.36 與 8.2.35，連已停止支援的 7.4、8.0、8.1 也提供了最小限度的回溯修補。美國國安局直接喊話：來不及修補的單位，寧可先把網站下線；聯邦調查局也發出警告，提醒攻擊者可藉此遠端掌控伺服器、竊取敏感資料。荷蘭與芬蘭已有政府單位在修補期間暫時關閉部分網站。

對網站經營者而言，現在只有一件事要做：確認 PHP 版本，立刻更新。這也是看店勢把權限與資料安全放在產品設計核心的原因——當連語言引擎都可能出事，層層把關的資安思維就不是選配，而是標配。

資料來源： Wiz Research 技術揭露、OpenAI 協調披露聲明、美國國家安全局（NSA）公告、美國聯邦調查局（FBI）警告、Associated Press