php2shell.tw
切換身份

懶人包

撐起全球大量網站的 PHP，被找到兩個能讓外人遠端在伺服器上執行程式的嚴重漏洞（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）。消息在修補前就先外洩，官方提前在台灣時間 10 月 21 日晚上 10 點推出修補（8.5.12、8.4.27、8.3.36、8.2.35），多國政府與企業網站先關站避險。

數字看板

這三個數字常在標題裡輪流出現，但它們數的不是同一件事，不要加總。

  • 69.3%

    已知伺服器端語言的網站裡，使用 PHP 的比例

    W3Techs。不是「網際網路的七成」。

  • 近 5,500 萬

    當天看到跑著 PHP 的網路資產

    Censys，經 NBC 報導

  • 約 2,260 萬

    暴露在網路上、可能受影響的實例

    Cortex Xpanse 估計

最新五則

看全部 62 則新聞

時間軸精華

時間為原始來源標示；只有日期的不補時分。

  1. 外部稽核看見跡象，修法停擺，後來稱為結構性失敗

    多年來首次外部稽核：Sovereign Tech Agency 出資、OSTIF 組織、Quarkslab 執行。核心開發者在修另一個問題時看到記憶體耗盡問題的跡象，當時找不到具體路徑。幾種修法互相衝突（破壞相容、帶來阻斷服務風險，或要改大量擴充），共識決的小團隊停擺數月。基金會後來稱之為結構性失敗。來源只有年份。

    出處The PHP FoundationThe Next Web

  2. Calif 與 OpenAI 同日回報，Thai Duong 致電基金會

    Calif 研究員 Ryan Austin 向 PHP 回報，與 2024 年那個記憶體耗盡問題同根。OpenAI 同日獨立回報同一根因。Calif 執行長 Thai Duong 致電 Volker Dusch。

    出處The PHP Foundation

  3. PHP 確認 Wiz 的報告，開始協調修補

    PHP 確認 Wiz 的報告，開始協調修補。原本約定先不公開細節，等修補一起公開。

    出處Wiz Research

  4. Amazon MadPot 看到利用嘗試，比公開早四天

    Amazon MadPot 蜜罐看到 PHP2Shell 利用嘗試，來源與商業匿名網路有關，比公開早四天。對方如何在禁運期間得知利用方式，AWS 表示不明。時分未公布。調查日誌 AWS 建議至少從這一天看。

    出處AWS Security Blog

  5. CVE 編號在論壇與社群流傳

    約 15:00 UTC（台灣 23:00），CVE 編號在論壇與社群流傳，附錯誤的發布時間與錯誤的 CVSS 10.0（官方為 9.2）。當時沒有技術細節。

    出處The PHP FoundationThe Next Web

  6. PHP 發出預告，修補提前到 10 月 21 日 14:00 UTC

    19:30 UTC（台灣 10 月 21 日 03:30），PHP 發出預告。釋出日從 10 月 22 日提前到 10 月 21 日 14:00 UTC（台灣 22:00）。預告本身沒有 CVE 編號，也沒有寫遠端程式碼執行。官方保留細節公開或出現在野利用就再提前的權利。發行商仍在打包，所以沒有立刻公開。原訂 10 月 22 日的鐘點有三種講法，都是計畫，不是已經發生的事。

    出處PHP.net / php.announceThe PHP Foundation

  7. Calif 誤發一段 PoC 展示影片

    約 20:00 UTC（台灣 10 月 21 日約 04:00），Calif 誤發一段 PoC 展示影片。刪除後副本仍在社群流傳，加速隔日的 PoC。Huntress 亦表示看過後來下架的影片。

    出處The PHP FoundationThe Next Web

  8. Chainguard 單方面打破禁運

    07:41 UTC（台灣 15:41），Chainguard 在協調發布前六個多小時，單方面打破禁運，發布含修補的映像。基金會寫明，攻擊者因而能提前對照修補。

    出處The PHP Foundation

  9. 修補發布：8.5.12、8.4.27、8.3.36、8.2.35

    14:00 UTC（台灣 22:00），修補發布：PHP 8.5.12、8.4.27、8.3.36、8.2.35。官方安全公告與基金會說明同日公開。發布當下，安全團隊表示尚未發現可運作的公開 exploit。

    出處PHP.netThe PHP Foundation

  10. 修補公開後數小時，AWS 稱已被廣泛在野利用

    14:00 UTC 之後數小時，AWS 稱又出現更多 PoC，感測器幾乎立刻被打到。AWS 稱其後已被廣泛在野利用。來源沒有更細的鐘點，此筆時刻沿用發布時刻並標為約略。

    出處AWS Security Blog

  11. OpenAI 公開 php2shell-checker

    16:35:11 UTC（台灣 10 月 22 日 00:35），OpenAI 官方 X 帳號公開 php2shell-checker：不確定網站是否受影響時，把 Codex 指向 GitHub 儲存庫來檢查。工具只比對回應標頭或本機 php -v 看得到的版號，結果為 OK、VULNERABLE 或 UNKNOWN；OK 沒有獨立驗證修補是否存在。GitHub API 記錄儲存庫建立於同日 00:29:12 UTC（台灣 08:29）。只能檢查自己有權限的系統，不能代替 PHP 官方修補。

    出處OpenAIOpenAI

  12. 多國政府與民間網站預防性下線或限制功能

    10 月 21 日當天至 10 月 22 日，多國政府與民間網站預防性下線或限制功能。下線多半是預防，不表示已經被入侵。比利時 CCB 當時尚未記錄到針對比利時網站的攻擊。個別名單見關站資料。

    出處BBC NewsMashableThe Guardian

看完整時間軸（可切換 UTC／台灣時間）