CISA 確認兩項 PHP2Shell 漏洞已被活躍利用，導致遠端程式執行

Ravie LakshmananOct 27, 2026漏洞 / 網路安全

美國網路安全與基礎建設安全域性（CISA）於週一確認近期已修補的 PHP2Shell 漏洞被積極利用，並將其加入已知被利用漏洞（KEV）目錄。

這兩個 PHP 漏洞，CVSS 等級皆為 9.2，允許未授權的遠端程式碼執行於受影響的部署 -

• CVE-2026-109618 - 一個記憶體耗盡腐敗漏洞，允許未授權的遠端程式碼執行。
• CVE-2026-109619 - 一個舊的內部請求狀態漏洞，允許未授權的遠端程式碼執行。

將這兩個漏洞加入 KEV 目錄是在 Perplexity 的偵測與回應負責人 Adel Karimi 在 2026 年 10 月 24 日確認對蜜罐系統成功進行遠端程式執行例項之後。

「這現在已確認為可使用記憶體洩露的 RCE，不只是崩潰後出現可疑程式，」Karimi說。「回應產生了 800 KiB 的解碼 Cookie Dump，並且從該 Dump 透過公開漏洞的偏移量推導出的函式位址出現在後續執行負載中。

"證據顯示此鏈路在故意最佳化的單工作者 mod_php 配置中；它並非衡量其他工作者數量、PHP 版本或應用程式的漏洞可靠度。"

這些問題已於 2026 年 10 月 21 日發布的PHP 8.5.12、8.4.27、8.3.36 與 8.2.35 版本中修復。聯邦機構須於 2026 年 10 月 29 日前完成必要的修補。

PHP（全名 PHP: Hypertext Preprocessor）是一種伺服器端指令碼語言，應用於網際網路上約 70% 的網站。根據 Censys 分享的估計，仍有超過 3251 萬個 PHP 服務 在執行受影響的版本。

這些漏洞的嚴重性已促使全球軟體與安全供應商及政府機構釋出大量通告，包括 -

• ABB
• Arista Networks
• Belden
• Broadcom
• Canon
• Citrix
• Craft CMS
• Dell
• Dormakaba
• Drupal
• ExpressionEngine
• F5
• Hikvision
• HP
• HPE
• Hitachi Energy
• HMS Networks
• Huawei
• IBM
• Ivanti
• Johnson Controls
• Mitel
• Moxa
• NETGEAR
• October CMS
• Okta
• QNAP
• Rockwell Automation
• Ruckus Wireless
• Salesforce
• Schneider Electric
• Siemens (1), (2)
• SonicWall
• Splunk
• Synology
• Veeam
• Wibu-Systems
• WordPress

截至 2026 年 10 月 26 日，PHP 基金會亦釋出了 Windows 版本 8.5.12-1、8.4.27-1、8.3.36-1 與 8.2.35-1，以修復CVE-2026-111497，這是一個 Brotli 解碼器庫的越界寫入漏洞，亦可能導致許可權提升及未經身份驗證的遠端程式執行。

該 漏洞，亦稱 Broccoli2Shell、HTTP2Shell 與 Node2Shell，影響 Brotli 1.0.3 至 1.0.9、1.1.0 與 1.2.0 版本。已於 1.0.10、1.1.1 與 1.2.1 版本修補，並於 其他專案中修補，這些專案包含 C 函式庫，例如 Node.js、Bun、Envoy Proxy、Istio、.NET 與 Python。

"在 PHP Windows 版中，當啟用自動 HTTP 響應解壓縮時，易受攻擊的解碼器可透過 cURL 擴充功能存取，" PHP 基金會 表示。"這在 cURL 預設為停用，但應用程式與 HTTP 客戶端函式庫可啟用。"

覺得這篇文章有趣嗎？ 追蹤我們的 Google News、Twitter 與 LinkedIn，閱讀更多我們發布的獨家內容。