PHP兩大漏洞免認證奪控伺服器 騰訊雲籲速檢查更新

一套免身份驗證、就能讓遠端攻擊者完全控制伺服器的PHP漏洞被公開，騰訊雲(Tencent Cloud)因此呼籲用戶盡速自行檢查並更新系統。

騰訊雲安全中心21日發布風險公告指出，已偵測到PHP的遠端程式碼執行漏洞遭公開，相關漏洞編號為CVE-2026-109618與CVE-2026-109619，代號「php2shell」。公告說明，未經身份驗證的遠端攻擊者只要送出精心構造的multipart POST請求，就可能觸發記憶體損毀，進而導致遠端程式碼執行，使整台伺服器遭到完全控制。

multipart POST是網站在處理檔案上傳或表單送出時，常用來向伺服器傳輸資料的請求方式，也就是說，一般網路服務日常接收的請求類型都可能成為攻擊入口。騰訊雲安全中心建議用戶盡快自行排查，一旦確認受影響，應立即更新並修補，避免遭外部攻擊者入侵。

騰訊雲發出公告當天，PHP開發團隊同步釋出修補程式。PHP開發團隊21日（當地時間）發布安全更新，修復兩項嚴重程度達9.2分（滿分10分）的重大漏洞，並在前一天（20日）已先透過資安公告預告漏洞等級。歐盟與英國的資安機構就PHP開發團隊公開的這項修補程式表示，若伺服器無法立即套用更新，應優先將其自公共網路下線或隔離。

各界對受影響範圍的判斷相當廣泛。資安業者watchTowr表示，PHP 5以後的所有版本都可能受到影響；WordPress安全外掛業者Wordfence則警告，所有運行在PHP伺服器上的WordPress網站皆存在風險。彭博(Bloomberg)報導稱，這項高風險漏洞在正式公開前就已遭駭客利用，全球曝險的執行個體超過2260萬個。

遠端程式碼執行(RCE)是指攻擊者能從外部在伺服器上執行任意程式碼的攻擊型態，可能進一步演變成網站遭竄改或資料外洩。由於缺陷出在PHP本身，受攻擊的對象並非個別使用者裝置，而是提供服務的伺服器，這也是此次事件的特徵之一。

雲端業者也相繼採取行動。Google(GOOGL)21日表示，Google雲端(Google Cloud)已針對所支援的所有PHP版本更新並部署無伺服器(serverless)基礎映像檔。Google說明，雲端服務本身並無漏洞，但在雲端上運行PHP的用戶仍可能暴露於風險之中，因此建議用戶將PHP升級至8.2版以上，並以修補後的版本重新部署服務。

OpenAI將此次事件評為近來最重大的資安事故之一，理由是影響範圍嚴重，且PHP應用程式使用極為廣泛。OpenAI表示將投入10億美元支援網路防禦人力，並說明其前沿(frontier)AI模型比攻擊者更早發現了這項漏洞。

加密貨幣產業中的交易所、錢包與數據網站等多數網路服務都仰賴伺服器端技術運作，以PHP架設服務的業者同樣可能被列入檢查範圍。騰訊雲的公告中並未提及任何特定加密貨幣服務。

系統管理者應確認服務所使用的PHP版本，升級至已修補的版本後重新部署。對於無法立即套用修補的伺服器，可依照歐盟與英國資安機構的建議，先將其自公共網路隔離。