PHP兩項漏洞21日修補：「70%網站」指使用占比，非受害比例

兩項可在未經驗證下於伺服器執行程式碼的PHP漏洞，已於21日（當地時間）修補，依CVSS v4.0標準評分均為9.2分。OpenAI與資安公司Wiz表示，雙方各自發現並通報了這些漏洞。

PHP開發團隊於21日發布PHP 8.5.12、8.4.27、8.3.36與8.2.35。團隊指出，凡是用來處理網頁請求的PHP安裝環境都可能受到影響。漏洞編號為CVE-2026-109618與CVE-2026-109619。第一項漏洞會在處理記憶體不足時，讓內部資料處於錯誤狀態；第二項則可能使後續請求再次參照已釋放的記憶體。

目前難以將漏洞發現全歸功於單一團隊。OpenAI表示，Calif使用GPT-5.6 Sol找出漏洞；Wiz則稱其研究團隊於8月19日發現漏洞。PHP基金會記錄顯示，Calif與OpenAI於8月11日首次通報，Wiz則於8月24日通報，兩次通報相隔13天。

「70%的網站」是Wiz用來說明PHP使用占比的說法，意指WordPress、Drupal與Joomla等PHP架構服務可能受到影響。沒有資料指出有相同比例的網站存在漏洞或遭到入侵。

公開前攻擊嘗試僅限蜜罐偵測

亞馬遜($AMZN)旗下AWS威脅情報團隊表示，曾於17日在自家蜜罐偵測到利用漏洞的嘗試。團隊補充，目前不清楚攻擊者如何在漏洞公開前取得相關資訊。蜜罐是用來引誘攻擊者的誘餌系統；這項偵測不代表實際服務伺服器遭入侵或資料外洩。

PHP基金會表示，在漏洞公開時檢視的公開PoC（概念驗證程式碼）中，沒有發現可運作的攻擊程式。AWS與基金會的觀測對象不同，因此兩者結果難以直接比較。

漏洞公開時程曾提前。漏洞編號在公開前流傳於線上論壇與社群媒體後，PHP基金會將發布時間從22日提前至21日。基金會表示，期間有包含有限攻擊細節的影片流傳，也曾發生建置映像檔比修補程式公開早六小時以上發布的情況。

建議隔離伺服器，部分服務一度中斷

對於無法立即套用修補程式的伺服器，歐洲與英國資安機構建議將其與公共網路隔離或關閉。網際網路檔案館也受到此次漏洞影響，一度離線，並在套用修補程式後恢復服務。

PHP開發團隊建議盡可能立即升級至修補版本。PHP基金會指出，暫時調整設定或許能降低特定攻擊途徑的風險，但並非完整解決方案。PHP 8.1及更早版本不在專案定期安全更新範圍內。基金會表示，部分Linux發行版與長期支援服務商可能另行提供修補版本，使用舊版的業者應向供應商確認是否有更新。

OpenAI的Daybreak與營收效益是兩回事

OpenAI將Daybreak介紹為一項計畫，向經授權的防禦組織提供漏洞偵測、分類與修補驗證工具。OpenAI表示，此次PHP漏洞處理與Calif、Wiz及維護者合作。《Fortune》指出，OpenAI正準備透過這類資安工具創造營收；但官方資料未顯示Daybreak的付費營收因這起事件增加多少。

PHP基金會表示，此次漏洞的部分根源早在2024年外部資安稽核中就已出現跡象。當時未能找到具體的遠端程式碼執行途徑；由於修補可能牽涉相容性與阻斷服務風險等取捨，處理進度也因此延後。基金會並指出，PHP長期仰賴規模不大的資安團隊與維護人力。

線上社群反應不一。Reddit上的PHP與系統管理社群有人詢問是否已套用修補程式、主機代管業者如何應對，以及是否需要因公開前的攻擊偵測而檢查日誌。部分使用者表示，未在自己的日誌中發現攻擊跡象；這些只是個別觀察，不能代表整體受害情況。

Hacker News上有人批評公開前的修補協調與公告時機，也有人擔心訊息帶有企業宣傳色彩。另有意見認為，應關注漏洞通報後修補延遲的制度問題，以及維護資源不足的情況。

PHP網站營運者應先確認所用版本是否已升級至8.2至8.5系列的修補版本，或確認Linux發行版與主機代管業者是否提供回移修補版本，也就是將新版安全修正套用至舊版的更新。