PHP2Shell 重大資安漏洞通知：兩項 PHP 核心 RCE 漏洞，企業應儘速修補

PHP2Shell 涉及 CVE-2026-109618 與 CVE-2026-109619 兩項 PHP 核心遠端程式碼執行漏洞，企業應確認 PHP 版本並參考 Fortinet 官方公告採取防護措施。

Fortinet 於 2026 年 10 月發布 PHP2Shell 資安警示，指出 PHP 核心存在兩項遠端程式碼執行（RCE）漏洞，風險評分為 CVSS 4.0 的 9.2 分。漏洞與 PHP 記憶體管理及請求處理機制有關，遭利用時可能危及 PHP 應用程式及其可存取的伺服器資源、應用程式資料或資料庫。

一、企業應優先檢查哪些環境？

此次漏洞影響使用 PHP 處理 Web 請求的環境，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed 等部署方式。

建議優先盤點對外提供服務的 PHP 伺服器，確認 PHP 版本、作業系統套件更新狀態，以及相關 Web 應用程式的暴露情況。

二、PHP 修補與緩解措施

依 PHP 官方安全更新資訊，建議依使用環境升級至下列修補版本：

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

若使用作業系統發行版維護的 PHP 套件，應依該發行版或服務供應商提供的安全更新處理。PHP 8.1 及更早版本已不在 PHP 專案的標準支援範圍內，應確認供應商是否提供回補修正，或規劃遷移至受支援版本。

若暫時無法完成修補，可評估限制外部網路存取、暫時停用暴露服務，並適當設定 Web 伺服器或反向代理的請求大小、輸入欄位及其他請求處理限制。這些措施只能降低風險，不能取代安全更新。

三、Fortinet 防護資訊

FortiGuard Labs 已發布相關 IPS 特徵碼，並提供不同層級的防護與偵測能力：

• IPS：相關特徵碼已發布，請確認設備所使用的 IPS 版本與更新狀態。
• OT IPS：FortiGuard Threat Signal Report 列出版本 37.316 的虛擬修補資訊；實際適用範圍應依對應特徵碼及產品文件確認。
• FortiWeb：可檢視 Web 應用程式防護政策與 HTTP 請求檢查設定，協助識別或阻擋惡意請求，但不能取代 PHP 安全更新。
• FortiCNAPP：可協助偵測 Linux 發行版套件中的相關 PHP 漏洞；各發行版修補狀態可能不同。

另依 Fortinet PSIRT 公告，目前列為調查中的產品為 FortiDDoS、FortiSOAR 與 FortiSOAR PaaS；FortiDDoS-F、FortiSIEM、FortiMonitor 等則列為確認不受影響。產品狀態可能隨公告更新，請以原廠最新資訊為準。

四、官方公告與修補資源

• Fortinet PSIRT：產品影響範圍與修補資訊
• FortiGuard：PHP2Shell 漏洞與防護說明
• PHP 官方安全更新公告
• FortiGuard Outbreak Alert：PHP2Shell 完整威脅分析

鑫捷科技提醒企業優先檢查對外服務的 PHP 環境，依官方修補資訊更新版本，並同步確認既有資安設備的防護特徵碼與監控設定。