PHP漏洞攻擊嘗試達數百萬次，Cloudflare未見成功案例

Cloudflare（NET）觀測到數百萬次針對PHP引擎兩項遠端程式碼執行漏洞的攻擊嘗試。PHP基金會表示，目前尚未發現攻擊成功執行遠端程式碼的案例。PHP開發團隊於21日（當地時間）發布修補兩項漏洞的安全更新。TokenPost先前報導的修補程式與機構建議之後，新增資訊包括Cloudflare觀測到的攻擊規模，以及PHP基金會對成功案例的說明。

PHP開發團隊在官方安全公告中，將CVE-2026-109618與CVE-2026-109619的嚴重程度評為CVSS 9.2，並建議處理網頁請求的PHP環境立即更新。修補程式發布後，歐洲與英國的資安機構建議，無法立即更新的伺服器應與公用網路隔離或下線。

修補版本為PHP 8.5.12、8.4.27、8.3.36與8.2.35。PHP 8.1及更早版本已停止定期安全更新支援。不過，PHP開發團隊針對此次漏洞，提供PHP 8.1、8.0及7.4的有限源碼回移版本；使用者也應確認Linux發行版或長期支援服務商是否提供修補套件。團隊指出，部分Linux發行版與長期支援服務商可能會另行提供修正，並建議向相關業者確認。

Wiz資安研究團隊表示，利用PHP引擎的記憶體處理缺陷，可能在未經驗證的情況下於伺服器執行程式碼，或取得程序記憶體中的敏感資訊。研究團隊曾在WordPress、Drupal與Joomla環境中示範遠端程式碼執行。由於漏洞位於PHP引擎，而非各服務本身的程式碼，因此影響範圍不限於特定內容管理系統。

受影響範圍廣泛。包括維基百科所使用的MediaWiki，以及WordPress、Drupal等平台，都廣泛採用PHP。Wiz估計，PHP約用於全球70%的網站；這是Wiz的統計，並不代表所有網站都以相同方式暴露於風險之中。

在修補程式發布前，攻擊嘗試就已受到觀測。Amazon（AMZN）威脅情報團隊表示，10月17日在其誘捕系統中發現PHP2Shell攻擊嘗試。Cloudflare執行長馬修・普林斯（Matthew Prince）在X上表示：「公開發布消息前的10小時內，我們的網路觀測到數千次攻擊嘗試。」他補充說，消息公開後兩小時內，攻擊嘗試增至數十萬次，之後累計達數百萬次。

這些數字代表攻擊嘗試次數，與成功入侵的次數不同。PHP基金會秘書長伊莉莎白・巴倫（Elizabeth Barron）向The Verge表示：「截至目前，我們尚未發現成功執行遠端程式碼的攻擊。」即使觀測到大量攻擊嘗試，仍須逐一確認各項服務是否實際遭到入侵。

舊系統能否修補也是一項難題。The Verge報導，兩款日本手機遊戲因無法更新老舊技術而將結束服務。PHP開發團隊表示，難以修補系統所採取的暫時緩解措施並非完整解決方案，只有更新才能徹底處理漏洞。

在台灣，使用PHP建置網路服務的業者也應檢查系統。使用主機代管服務的營運者應向服務商確認是否已套用更新。

Wiz表示，AI模型參與了漏洞發現與攻擊利用程式的開發過程。不過，公開資料並未證明AI曾獨立發現漏洞或執行攻擊。服務營運者應先確認實際運行的PHP版本，以及供應商是否已套用安全更新。