PHP漏洞修補後仍須逐一更新，Wiz CTO談手動處理限制

部分企業與機構因應PHP的兩項漏洞而暫停網站營運，有些則在套用安全修補程式前先關閉服務。PHP開發團隊已發布修正版，但各種營運環境仍須逐一完成更新。

開放原始碼語言PHP約用於全球七成網站。TechCrunch在29日發布的Podcast介紹中提到這項使用規模；七成指的是使用PHP的網站比例，並非受漏洞影響的網站比例。

PHP開發團隊在21日發布的安全公告中表示，已修補兩項漏洞。未登入的攻擊者可能利用這些漏洞在伺服器上執行程式碼。修正版為PHP 8.5.12、8.4.27、8.3.36及8.2.35。

兩項漏洞的編號分別為CVE-2026-109618與CVE-2026-109619。一項涉及記憶體不足時，請求資料未被妥善清理；另一項則是前一個請求的內部狀態殘留至下一個請求。

遠端程式碼執行是指攻擊者從外部讓有漏洞的伺服器執行指令。PHP開發團隊建議，使用PHP處理網頁請求的環境應安裝安全更新。

本報先前報導過歐洲政府與公共網站在修補程式發布前暫停營運的案例，也追蹤過PHP 7與PHP 5環境的修補落差。此次應對已從發布修正版，進入各營運環境實際套用更新的階段。

安全公告列出修正版，不代表所有伺服器都已完成更新。實際防護狀況取決於各營運環境是否已安裝適用版本的修補程式。

Wiz曝險管理與應用程式安全部門技術長托默·施瓦茨（Tomer Schwartz）在TechCrunch Podcast中分享了參與此次漏洞修補的經驗。Wiz與OpenAI、安全研究團體Calif及PHP開發團隊共同參與修補工作。

Podcast也談到漏洞修補的內部流程，以及早期新創公司如何在產品開發階段納入安全考量。

施瓦茨與主持人也討論，隨著組織規模擴大，逐一以人工方式修補漏洞為何愈來愈困難。這也關乎修正版發布後，各營運環境仍須各自完成更新的現況。

找出漏洞的研究人員認為，AI可能改變發現與利用新漏洞的速度。Podcast除了談及此次漏洞的修補過程，也討論這種變化為資安應變帶來的挑戰。

Wiz在自家觀測資料中表示，漏洞公開後幾天內，網路上暴露且存在漏洞的設備每日不重複數量約減少67%。這項數據反映的是Wiz觀測到的設備變化。

因此，67%不代表全球所有PHP伺服器的漏洞修補率，也不代表攻擊成功率；解讀時應限於Wiz在網路上觀測到的漏洞設備數量變化。

Wiz也在同一份資料中表示，在其捕捉到的漏洞利用嘗試中，沒有攻擊成功完成。這項結果僅適用於Wiz的觀測範圍。