【重要資安通知】請各單位儘速確認並修補 PHP2Shell 重大漏洞

2026/10/29

PHP 官方於 2026 年 10 月 21 日發布安全更新，修補通稱為「PHP2Shell」的兩項重大漏洞，資通安全署亦已發布新聞提醒各界儘速更新。為降低網站遭入侵及資料外洩風險，請各單位立即盤點所自行管理之網站、資通系統及服務，各研究室自行架設之網站，確認是否使用受影響的 PHP，並儘速完成修補。

一、漏洞描述
PHP2Shell 包含 CVE-2026-109618、CVE-2026-109619 兩項漏洞，涉及 PHP 記憶體處理及已釋放記憶體之不當存取，CVSS v4.0 評分均為 9.2 分（重大等級）。攻擊者可能在未經身分驗證的情況下，遠端執行任意程式碼。

CVE編號	漏洞類型	CVSS v4.0基礎分數
CVE-2026-109618	遠端程式碼執行	9.2
CVE-2026-109619	遠端程式碼執行	9.2

二、風險影響
使用未修補 PHP 的網站及管理介面，可能遭讀取敏感資料、竄改內容、植入後門或造成服務中斷。WordPress、Drupal、Joomla、Magento 等系統、本校 cPanel 及 Blog 網站平台上使用 PHP 的網站，亦應確認底層 PHP 是否受影響，僅更新網站程式或外掛並不足以修補本次漏洞。

 

三、修補方式
1.更新 PHP：升級至 8.2.35、8.3.36、8.4.27、8.5.12，或同分支後續安全版本。
2.舊版環境：PHP 8.1 及更舊版本應優先升級；如使用作業系統或第三方供應商提供的套件，須依其安全公告及完整套件版本，確認已涵蓋兩項漏洞的修補，不宜僅以 PHP 主版本號判定。
3.驗證更新：更新前請完成備份及相容性確認，更新後重啟相關 PHP／Web 服務，必要時重新啟動主機，並確認網站實際使用的 PHP 已完成修補。委外系統請洽維護廠商辦理。

版本	修補方式
PHP 8.5	更新至8.5.12
PHP 8.4	更新至8.4.27
PHP 8.3	更新至8.3.36
PHP 8.2	更新至8.2.35（2026年12月31日結束生命週期）
PHP 8.1及更早版本	不再接收官方更新，應洽詢發行版或長期支援廠商，或升級至受支援版本；官方另為7.4、8.0、8.1提供精簡原始碼修補

四、參考資料
1.PHP 官方安全公告及修補版本：https://www.php.net/archive/2026.php#2026-10-21-5
2.CVE-2026-109618：RCE via OOM corruption：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
3.CVE-2026-109619：RCE via stale global state：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
4.Ubuntu：PHP2Shell 修補套件與更新說明：https://ubuntu.com/blog/php2shell-vulnerability-fixes-available
5.資通安全署：網站開發程式語言 PHP 釋出緊急安全更新，呼籲儘速完成修補：https://moda.gov.tw/ACS/press/news/press/21134