緊急修補措施鎖定廣泛使用的網路軟體兩項弱點
南韓韓國網路暨安全局（KISA）於 2026 年 10 月 21 日呼籲網站營運者更新 PHP。此前，這款用於運作登入頁面、購物服務和討論區的軟體被發現有兩項安全弱點。通報指出，攻擊者可能無須先登入，就能在伺服器上執行程式碼。
目錄
KISA 指出，這兩項漏洞分別為 CVE-2026-109618，涉及未妥善處理例外狀況；以及 CVE-2026-109619，涉及使用已釋放的記憶體。更新門檻涵蓋 PHP 的四個版本分支：8.2.35、8.3.36、8.4.27 和 8.5.12。
南韓科學技術資訊通信部與 KISA 隨後於 10 月 21 日晚間，向國家網路安全網絡中的企業和機構發出安全通報。政府主管機關於 10 月 22 日說明了這項通知行動，也正在研議提供緊急協助，協助較小型企業安裝修補程式。
這些統稱為 PHP2Shell 的弱點引發國際回應。據報，荷蘭和芬蘭部分政府機構預防性暫停網站運作；歐洲、日本和澳洲的網路安全主管機關也呼籲更新。據報，美國機關亦建議，若無法立即安裝修補程式，應讓受影響系統下線。
哪些 PHP 版本需要留意？
KISA 的建議為每個受影響的 PHP 分支訂出不同的最低版本。分支是指一系列相關版本：例如，使用 PHP 8.3 的網站，需要更新至該分支中已修正問題的版本，或適用且較新的支援版本。
- PHP 8.2：更新至 8.2.35 或更新版本。
- PHP 8.3：更新至 8.3.36 或更新版本。
- PHP 8.4：更新至 8.4.27 或更新版本。
- PHP 8.5：更新至 8.5.12 或更新版本。
KISA 也警告，PHP 8.1 及更早版本已終止官方安全支援。使用這些版本的營運者應改用受支援版本，而非繼續使用官方安全維護已經結束的軟體。
對企業主而言，實際上應先確認網站伺服器上執行的 PHP 版本。這項軟體可能由主機服務商管理，也可能由內部技術團隊負責。更新筆記型電腦的瀏覽器，改變的是系統中的另一個部分。
兩項漏洞可能造成的影響
CVE-2026-109618 與例外狀況有關，也就是軟體遇到偏離正常運作情形時的狀況。程式必須安全地處理這些情況；若處理失當，軟體可能會出現非預期行為。
CVE-2026-109619 被描述為釋放後使用漏洞。軟體會暫時保留電腦記憶體空間，並在使用完畢後釋出。這類漏洞發生於程式之後又試圖使用已釋出的空間，可能讀取到已變更或屬於其他作業的資料。
通報指出的風險是未經驗證的遠端程式碼執行。簡單來說，網站外部的人可能無須提供有效的使用者名稱或密碼，就能使網站伺服器執行指令。攻擊若成功，可能會使資訊外洩、惡意軟體遭安裝，或服務中斷。
公開公告並未說明利用各項弱點所需的確切伺服器設定和請求條件。因此，營運者需要確認受影響的軟體版本，並針對自身安裝環境取得技術指引。
WordPress 為何讓這項問題攸關一般企業
PHP 是在網站伺服器上執行，而非在訪客的手機或電腦上執行。當購物者要求查看訂單紀錄時，PHP 程式可以從資料庫擷取相關紀錄，並準備好傳回瀏覽器的頁面。登入系統、留言和討論區也能以相同方式運作。
提供網站建立與管理工具的 WordPress，同樣以 PHP 為基礎。這使得安全應變也攸關部落格、企業網站和網路商店；這些網站的經營者可能很少直接接觸底層程式語言。
根據網路技術測量服務 W3Techs 的數據，在可辨識伺服器程式語言的網站中，約有 75% 使用 PHP。WordPress 約占所有網站的 43%。PHP 的統計範圍較 WordPress 的數據窄，前者只計入可辨識伺服器語言的網站，後者則涵蓋所有網站。
這些數據說明了此次應變為何影響廣泛。許多由不同單位獨立營運的網站都仰賴相同的底層軟體，因此一次修補行動可能同時涉及公共機構、大型企業和小型商家。
南韓透過兩個安全管道聯繫企業
科學技術資訊通信部與 KISA 於 10 月 21 日向 C-TAS 成員，以及依法須登記資訊安全長（CISO）的企業發出通知。C-TAS 是用於分析與共享網路威脅資訊的系統。
C-TAS 約有 5,900 家企業和機構參與。依南韓《資訊通信網路法》，約有 30,000 家企業必須指派 CISO 並向主管部會通報。CISO 是組織內負責資訊安全的高階主管。
這兩個數字代表不同的通知對象，彼此可能有所重疊。政府也透過 KISA 的公共網路安全入口網站「保安娜拉」（Boho Nara），建議各單位更新安全軟體並安裝修補程式。
較小型企業面臨實際的人力問題：有些企業缺乏員工能辨識受影響的安裝環境、安排更新，並在更新後確認網站仍能正常運作。部會官員表示，政府已先發布安全指引，並正在研議提供緊急修補協助，但尚未公布協助計畫的啟動日期或適用資格。
應變進展
據報，相關事件始於 2024 年的一次外部安全稽核，之後於 2026 年 10 月加快發布修補程式。重要日期如下：
- 2024 年：據報，外部稽核發現部分缺陷跡象。內部意見分歧，以及對與既有軟體相容性的疑慮，被列為當時未推進修補程式開發的原因。
- 2026 年 10 月 21 日：據報，PHP 開發人員發布修補兩項漏洞的版本，KISA 也發布更新建議。
- 10 月 21 日晚間：南韓主管機關透過企業和機構管道發出安全通知。
- 10 月 22 日：南韓主管機關說明這項通知行動。這也是原定發布修補程式的日期。
據報，漏洞資訊外洩後，修補程式的發布時間提前了一天。在修補程式公開前，也據報已偵測到攻擊嘗試，進一步促使營運者儘速採取行動。
2024 年安全稽核的相關說法也凸顯維護上的挑戰。若變更共用軟體，可能會影響依賴其既有行為所建置的應用程式。相容性疑慮會讓修補工作更難協調，尤其是當某種程式語言支援許多不同網站和主機環境時。
AI 發現漏洞與獨立安全研究
據報，網路安全公司 Calif 使用一款被稱為 GPT-5.6 Sol 的 OpenAI 模型發現這些漏洞。據稱，這些缺陷已經超過十年未被發現。
據報，與 Google 有關聯的網路安全公司 Wiz 也獨立發現並通報這兩項漏洞。Wiz 共同創辦人 Ami Luttwak 稱，這是利用 AI 發現的最嚴重漏洞，並表示若沒有 AI，要發現這些漏洞會極為困難。
OpenAI 表示，過去兩個月已協調研究人員和網路安全公司，支援此次應變。該公司也預測，未來幾個月利用 AI 發現類似漏洞的數量將大幅增加。
對網站營運者而言，眼前的工作仍然很明確：確認已安裝的軟體、套用適當的修正，並維持服務運作。AI 協助發現漏洞，則為這起事件增添另一個面向，與獨立研究、開發者協調及修補程式發布同樣重要。
主管機關為何建議讓部分網站下線
據報，美國國家安全局呼籲使用 PHP 的組織立即更新，並警告漏洞若遭利用，攻擊者可能取得伺服器檔案系統或資料庫的存取權。若無法立即更新，該局建議先讓受影響系統下線，直到弱點修復為止。
據報，聯邦調查局也發布類似建議，警告遠端程式碼執行及敏感資訊與網路可能外洩的風險。荷蘭和芬蘭部分政府機構則採取預防措施，暫停網站運作。
讓網站下線會立即造成代價：訪客無法使用網站提供的服務。對商店而言，可能導致銷售中斷；對公共機構而言，則可能無法提供資訊或線上表單。這項建議反映出，在等待修復期間，讓暴露於風險中的伺服器繼續對外開放有多麼嚴重。
Cloudflare 表示，正更新防護措施以因應相關攻擊途徑。網站營運者仍應安裝 PHP 修補程式，將底層軟體更新至安全應變公告所列的版本。
營運者現在應採取的措施
網站營運者應先確認由誰管理 PHP 安裝環境，再將版本與 KISA 列出的更新門檻比對。使用主機服務商的組織應請服務商確認伺服器版本和更新安排；自行管理伺服器的團隊則須直接處理更新。
使用 WordPress 的企業也應將 PHP 執行環境納入檢查，並配合日常網站維護作業。PHP 是內容管理系統底層的獨立軟體，因此只確認 WordPress 版本，仍無法掌握整個安裝環境。
使用 PHP 8.1 或更早版本的營運者，應轉換至受支援版本。已使用受影響分支的營運者，則須更新至該分支中相應的修正版本，或適用且較新的支援版本。更新期間測試客戶登入、訂單查詢和付款等必要功能，有助於及早發現服務問題。
重點摘要
- KISA 於 2026 年 10 月 21 日發布 PHP 安全更新建議，指出 CVE-2026-109618 和 CVE-2026-109619 兩項漏洞。
- 列出的更新門檻為 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。
- KISA 建議 PHP 8.1 及更早版本的使用者改用受支援版本。
- 通報指出的風險包括攻擊者無須登入即可遠端執行程式碼。
- 南韓聯繫了安全網絡成員，以及依法須指派 CISO 的企業。
- 南韓政府正在研議為較小型企業提供緊急修補協助。
- 國際主管機關呼籲更新；部分機關建議若無法立即安裝修補程式，應暫時關閉系統。
