開源伺服器端腳本語言 PHP 安全團隊於 10 月 21 日晚間 10 時（台灣時間）釋出緊急安全更新，修補兩項 CVSS v4.0 評分均為 9.2 分的嚴重漏洞，攻擊者可能在未經身分驗證的情況下遠端執行任意程式碼。數位發展部資通安全署與資安業者 Sophos 分別呼籲，使用 PHP 的機關與企業應盤點所有執行環境並儘速修補。Sophos 並提醒，在 AI 協助下，攻擊者可能更快鎖定這項弱點，防禦者的應變時間日益縮短。
兩項嚴重漏洞可讓攻擊者遠端執行任意程式碼
PHP 安全團隊於 10 月 21 日晚間 10 時（台灣時間）釋出緊急安全更新，修補編號 CVE-2026-109618 與 CVE-2026-109619 的兩項嚴重漏洞，兩者統稱為「PHP2Shell」。數位發展部資通安全署指出，兩項漏洞的 CVSS v4.0 嚴重度評分均為 9.2 分，攻擊者可能在未經身分驗證的情況下，從外部執行任意程式碼。資安業者 Sophos 說明，成因包括記憶體處理錯誤及過時的內部狀態。
資安署：盤點所有 PHP 系統，更新後檢視日誌
資安署表示，
PHP 廣泛用於網站建置、內容管理系統與各類管理介面，呼籲使用 PHP 的機關、學校及企業儘速完成版本確認與更新。該署已透過資安警訊、國家資安資訊分享與分析中心（N-ISAC）及 TWCERT/CC 等管道，通知各機關及企業儘速應處。
資安署提醒，PHP 同時是 WordPress、Drupal、Joomla、Magento 等主要內容管理系統的底層架構，部分未明示使用 PHP 的軟體內部也以 PHP 運作。各單位應盤點所有 PHP 系統與相關套件，確認版本後依原廠公告方式修補。更新後也應檢視系統日誌及異常存取紀錄，如發現可疑活動，應進一步確認相關帳號與憑證安全性。
Sophos：AI 加速漏洞利用，應變時間日益縮短
Sophos Counter Threat Unit（CTU）威脅研究資深總監 Chris Yule 表示，研究證實相關技術可用來以可預期的方式破壞記憶體，並繞過 PHP 部分實作中的位址空間配置隨機化（ASLR）防護機制。他指出，隨著 AI 加速漏洞利用技術的開發，攻擊者可能更快將漏洞轉化為實際可用的攻擊工具，防禦者的應變時間窗口日益縮短。
CTU 威脅情報副總裁 Don Smith 也提醒，這項弱點在未來數小時至數天內，很可能成為攻擊者優先鎖定的目標，組織應持續監控 PHP 與網頁伺服器的執行程序，留意異常程序與可疑命令執行活動。
Don Smith 表示：「眼前的挑戰不只是安裝修補程式，而是找出並管理所有正在執行 PHP 的環境。」他說明，
PHP 廣泛應用於公開網站、內容管理系統、主機代管平台及第三方產品，有時組織甚至不清楚自身環境中哪些系統正在使用 PHP。
Chris Yule 補充，許多舊型系統與設備仍在執行存在弱點的 PHP 版本，且往往無法直接更新或更換。各類設備在 IT 環境中如同黑盒子，組織難以掌握其版本與修補狀態，通常必須仰賴設備廠商提供更新，因此需要部署額外的防護措施。
優先處理對外系統，無法修補者先隔離
Don Smith 指出，資安團隊應優先處理可從網際網路存取的系統。他引述英國國家網路安全中心（NCSC）的建議，若系統無法立即完成修補，應先與網際網路隔離，直到風險獲得妥善處理。Sophos CTU 建議企業立即採取以下措施：
- 盤點受影響系統：確認所有執行 PHP 的系統、應用程式及第三方設備，並掌握其 PHP 版本。
- 優先修補對外連線系統：儘速升級至已修補的 PHP 版本。
- 處理無法立即修補的系統：暫時與公開網路隔離，或限制外部存取。
- 持續監控入侵跡象：檢查網頁伺服器與 PHP 相關日誌，留意異常程序與可疑命令執行。
- 確認第三方產品與設備：向網站平台、主機代管服務等廠商確認更新與修補進度。