PHP2Shell 弱點恐致無須登入即可掌控網站伺服器，美國 CISA、NSA 與 FBI 發布警報呼籲立即修補，若無法修補應關閉伺服器

華盛頓

廣泛應用於網站與 Web 應用程式伺服器的程式語言 PHP 發現了兩項重大弱點，允許攻擊者在未登入的情況下於伺服器內執行指令。美國網路安全和基礎設施安全局（CISA）、國家安全局（NSA）及聯邦調查局（FBI）接連敦促立即修補。這三個機構於10月21日至23日（美國時間）分別透過警報、新聞稿及公眾服務公告（PSA）公布了弱點編號 CVE-2026-109618 與 CVE-2026-109619。三者皆同樣建議無法立即更新的組織將相關系統離線。

CISA 表示「php2shell」弱點允許未經身分驗證的遠端程式碼執行

CISA 在10月21日的警報中表示，這兩項弱點被稱為「php2shell」，允許在 PHP 中進行未經身分驗證的遠端程式碼執行。所有處理 Web 請求的 PHP 安裝環境均受影響。CISA 舉出了 Apache 與 mod_php 的組合、PHP-FPM、php-cgi、FrankenPHP 以及 LiteSpeed 為例。CISA 補充說明，其中 mod_php 組合已被 PHP 方面歸類為最高風險。

修補版本為 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35。CISA 表示各組織應立即更新至這些版本。不過 CISA 也指出，截至警報發布時，尚未觀察到利用這些弱點成功發動攻擊的實際案例。CISA 網路帳號於同日在 X 上公布了這兩項弱點編號，通知各組織必須立即修補。

CISA 於10月23日更新了該警報，新增了用於尋找可疑活動的 SIGMA 偵測規則，並納入了合作夥伴機構的資料。合作夥伴資料包含英國國家網路安全中心、澳洲訊號局轄下澳洲網路安全中心、紐西蘭國家網路安全中心、加拿大網路安全中心及荷蘭國家網路安全中心的指引。

同日，NSA 也透過另一份新聞稿發布了安全警報。

NSA 警告網路威脅行為者極可能將此弱點武器化

NSA 在10月21日的新聞稿中表示，PHP 開發團隊已於當日（週三）發布了開源修補程式。NSA 指出，PHP（「PHP: Hypertext Preprocessor」的縮寫）可在大多數主要作業系統上運作，直接於 Web 伺服器上執行，並嵌入 HTML 中用於建立動態網頁。NSA 表示，由於其應用如此廣泛，此缺陷可能為攻擊利用創造極佳環境。NSA 將這組弱點命名為「PHP2Shell」，並表示正將辨識企圖利用此缺陷的惡意網路威脅行為者列為優先事項。

NSA 表示，攻擊者無需事先取得存取權限或身分驗證，即可接管受影響的 Web 伺服器。NSA 補充表示，攻擊者可藉由此途徑竊取敏感資料、中斷服務，或深入滲透至網路內部。NSA 指出，這項弱點是 PHP 本身的缺陷，而非託管的應用程式或設定問題，使用受影響 PHP 版本的伺服器都將暴露於攻擊風險中。

負責美國國家安全的 NSA 表示，「網路行為者極可能將 PHP2Shell 弱點武器化」。由於風險嚴峻，全美聯邦政府各部會及機構皆須立即修補。NSA 建議在未來幾週內對仰賴 PHP 的對外公開聯網設備及服務保持警惕、強化日誌記錄，並汰換與修補程式不相容的終止支援（EOL）PHP 服務。NSA 的網路安全帳號亦於同日在 X 上發布了此警報。

NSA 在該則貼文中表示，這些弱點往往能直接存取伺服器的檔案系統或資料庫。若難以立即更新，建議將系統離線，並預告不久後將發布具體指引。

NSA 表示其他軟體廠商也可能在修補程式備妥後陸續釋出，呼籲密切關注更新動態，並指出最新的緩解指引可在 PHP 開發團隊的安全公告頁面查閱。NSA 表示將與情報界及 CISA 等專家合作，清查並解決政府及國家安全系統中的弱點。

CISA 要求全面盤點執行 PHP 的系統

CISA 首先要求各組織全面盤點內部執行 PHP 的所有系統。CISA 指出，PHP 常內嵌於其他軟體中，表面上可能並不明顯。CISA 隨後要求優先立即修補對外聯網的系統。無法立即更新或仍在使用已終止支援之 PHP 8.1 以下版本的組織，必須將基於 PHP 的系統離線，直到修補或更新完成為止。

CISA 叮嚀各界參閱 PHP 開發團隊的官方安全公告以確認修補指引。CISA 表示，在系統完成更新前，Web 應用程式防火牆可提供部分防護。CISA 建議監控 PHP 工作行程執行 Shell 或下載工具等可疑活動。

FBI 於10月23日發布了公眾服務公告 I-102326-PSA，這是接續 FBI 於10月21日在社群媒體發布內容後的後續公告。FBI 表示，PHP 是驅動網站與 Web 應用程式的廣泛應用程式語言，這兩項弱點可能使惡意網路威脅行為者在 PHP 核心中遠端執行程式碼，進而危及敏感資料與網路安全。FBI 網路犯罪調查處於10月21日在 X 上發布了這項消息。

FBI 表示安全更新現已發布，應立即套用。FBI 要求在清查含有 PHP 的環境時，應優先處理對外聯網系統及隨附整合 PHP 的廠商產品，並監控 Web 伺服器上的 PHP 行程是否出現非預期執行命令 Shell 或下載檔案的情形。FBI 指出，最新資訊可查閱 PHP 開發團隊公告、歐盟 CERT-EU 安全通報 2026-018 以及 CISA 的已知遭利用弱點（KEV）目錄。FBI 要求企業與網站營運者確認自身系統是否受影響。若發現遭入侵跡象，請將受影響系統隔離、保留 Web 伺服器與 PHP 日誌，並向鄰近的 FBI 外勤辦事處或 ic3.gov 通報。FBI 表示，此類通報有助於執法機關辨識幕後黑手，並在其他組織受害前提出預警。

資料來源 (KST)

• 美國 CISA，"Critical Vulnerabilities in PHP Require Immediate Patching"（2026年10月21日發布，10月23日更新）：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• 美國國家安全局（NSA），"NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities"（2026年10月21日）：https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• 美國聯邦調查局（FBI），"Critical Vulnerability Alert: PHP Core"（公眾服務公告 I-102326-PSA，2026年10月23日）：https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• CISA 網路帳號 X 貼文：https://x.com/CISACyber/status/2112947079458717969
• NSA 網路安全帳號 X 貼文：https://x.com/NSACyber/status/2112903220209098897
• FBI 網路犯罪調查處 X 貼文：https://x.com/FBICyberDiv/status/2112921648252719420