吳明宜網站管理員要留意了，PHP 維護組織原先預告將於台灣時間 10/21 晚上 10:00 釋出安全更新，修補 2 個重大安全漏洞，目前已正式釋出修補更新，並在官方說明中公布漏洞細節。
兩項漏洞內容
CVE-2026-109618／GHSA-w8hw-w9fx-j79w：透過 OOM（記憶體不足）損壞導致遠端程式碼執行 (RCE) 。如果請求在錯誤時間點觸及 PHP memory_limit 上限，PHP 可能留下部分初始化的內部資料，之後將其視為有效資料，導致記憶體損毀。在 Apache 上使用 mod_php 時，未經驗證的請求可在任何應用程式程式碼執行前觸發此問題，且已證實預設設定下可達成完整的遠端程式碼執行。另外也已透過應用程式層級的程式碼路徑，證實 PHP-FPM 可被遠端執行程式碼。
CVE-2026-109619／GHSA-6wmf-4rv5-p3rp：透過過時的全域狀態達成遠端程式碼執行。如果錯誤發生在特定時間點，內部狀態可能指向屬於先前請求的記憶體。同一個 worker 處理後續請求時，可能使用已被釋放的記憶體。目前已確認可造成 use-after-free 與 worker 當機，漏洞回報者也已針對在 Apache 上以 mod_php 執行的應用程式，示範遠端程式碼執行。
CISA 列入 KEV 目錄 歐洲多國網站預防性下線
美國 CISA 也在 10/21 將 PHP2Shell 列入已知遭利用漏洞 (KEV) 目錄，並發布重大公告，要求聯邦機構立即更新。媒體報導指出，荷蘭、芬蘭等歐洲多國的政府機關、學校及醫療院所，為了防範駭客在漏洞公布初期發動攻擊，主動讓部分官方公共網站或網頁服務預防性下線。
PHP 安全公告指出，兩個漏洞的風險評分都高達 9.2 。維護單位要求開發人員做好準備，以便在安全更新釋出時立即安裝。維護單位也表示，如果漏洞遭公開或出現濫用程式，可能提早釋出更新。
影片搶先揭露 PHP2Shell
在正式更新之前，有一則影片搶先揭露 CVE-2026-109618 、 CVE-2026-109619 兩個漏洞，以及一個名為 PHP2Shell 的濫用程式。該程式可在執行 WordPress 7.1.3 、 MediaWiki 1.46.2 、 phpBB 3.3.17 、 Magento 2.4.9 、 Joomla 6.2.0 、 Laravel 13.36.0 、 Laravel 8.83.29 、 Symfony 8.1.9 、 Drupal 11.4.10 和 WHMCS 9.0.9 的網頁伺服器上執行程式碼，這些都是使用 PHP 的系統。
資安廠商 watchTowr 表示，PHP2Shell 影響自 2004 年 PHP 5 以來的所有版本。 watchTowr 也證實，影片中的 CVE-2026-109618 和 CVE-2026-109619 確實存在。
另一家業者 Sansec 認為，一旦這個濫用程式釋出，15 分鐘內就會爆發大規模攻擊。 Webfence 和 Huntress 也呼籲管理員及早準備。
資安業者建議的因應步驟
資安業者建議的步驟包括：先找出公司內負責 PHP 的管理者，依程式語言建立每個 App 的清單，規劃維護時段及因應提早更新的預備計畫，並做好網站和資料庫檔案的備份。此外，也應持續關注 PHP.net 首頁，留意是否有突發或提早發布的更新。部分專家也建議在完成修補前，關閉任何不必要的系統。
PHP 是用來建立動態網站和網頁 App 的開原碼腳本語言，也是現代網頁的基礎。除了 WordPress，多種 CMS 應用程式及許多內部工具也以 PHP 執行。估計全球有 130 萬台連網主機可能受影響。 PHP 使用如此廣泛，漏洞風險評分又高達 9.2，管理員應提高警覺，及早做好萬全準備。
（綜合外電報導）