PHP 修補兩項嚴重未經驗證遠端程式碼執行漏洞

CVE-2026-109618 · CVE-2026-109619

主要來源公告：2026-10-21

本站刊登：2026-10-24 · 內容更新：2026-10-25（香港日期）

情報摘要

CVE-2026-109618 及 CVE-2026-109619 可導致未經驗證的遠端程式碼執行。官方修補版本為 8.5.12、8.4.27、8.3.36 及 8.2.35。

AWS 於 10 月 21 日表示，MadPot 遙測識別到 10 月 17 日的 PHP2Shell 利用嘗試，早於公開披露；但當時仍不確定這些嘗試能否在真實系統成功。AWS 建議調查至少追溯至 10 月 17 日。

香港數字政策辦公室 10 月 22 日要求政府部門及公營機構全面檢查、盡快修補，未能完成者應暫時下線或隔離；並稱為各局／部門主頁提供的網頁寄存服務已完成修補。截至該份 22:44 HKT 新聞稿發出時，DPO 未接獲相關事故報告。

Sophos 在 10 月 22 日 21:21 UTC 更正早前判斷：其客戶遙測只顯示掃描及少量失敗利用嘗試，截至該次更新未有成功入侵證據，疑似 Potassium／Mirai 載荷亦未成功投放。這只反映 Sophos 當時的觀察範圍，不能推論全球沒有成功攻擊。

處理網頁請求的 PHP 部署

香港網站、託管服務及企業系統管理員

升級至所用分支的修補版本，或確認供應商已回移修補；暫時緩解不能取代更新。

PHP 官方列為 critical；10 月 20 日預告列兩項 CVSS v4.0 9.2。

香港受影響情況未獲證實；DPO 未接獲報告只反映截至該公告的通報情況，不代表香港沒有受害者。

AWS 的蜜罐遙測顯示利用嘗試，不能據此斷言真實系統已成功入侵。