本站 10/22 寫過 PHP 兩個嚴重漏洞（CVE-2026-109618、CVE-2026-109619，俗稱 PHP2Shell）。一週後有兩個新進展：日本 JPCERT/CC 10/26 更新警示，指出已有大量號稱可利用的 PoC 公開、攻擊嘗試相繼出現；PHP 官方 10/23 另外公布第三個漏洞 CVE-2026-115560，目前還沒有修補版。
事件經過
- 10/21：PHP 發布 8.5.12／8.4.27／8.3.36／8.2.35 修補 PHP2Shell。
- 10/23：PHP 公布資訊性公告 CVE-2026-115560，只在「特殊設定＋特定程式寫法」組合下可被利用，官方將在下一個例行版本修補，在此之前建議關閉上傳進度功能。
- 10/26：JPCERT/CC 更新注意喚起（JPCERT-AT-2026-0033）：PoC 大量公開、攻擊通訊陸續被觀測到。但能否真的執行程式碼，取決於 PHP 版本、環境與記憶體配置。
重點
| 項目 | 內容 |
|---|---|
| 新漏洞 | CVE-2026-115560，尚無修補版 |
| 成立條件 | 程式在設定中把 session.serialize_handler 設為 php_binary 或 php_serialize，執行時又用 ini_set() 改回 php，再呼叫 session_start()；且上傳進度功能仍開啟 |
| 緩解方式 | 設定 session.upload_progress.enabled=0，並重啟所有 PHP worker |
| 已套用 PHP2Shell 緩解者 | 同一個設定，不需額外動作 |
| 攻擊現況 | 多家資安公司觀察到大量掃描與攻擊嘗試；截至報導時仍未有確認成功入侵的案例 |
- JPCERT 列出的入侵自查重點：
- 回應中有沒有異常長或格式怪異的 PHPSESSID Cookie
- 可疑的 multipart/form-data 請求前後，有沒有 PHP 記憶體上限錯誤或 HTTP 500
- PHP worker 是否異常結束或頻繁重啟
- JPCERT 也提醒：沒看到這些痕跡，不代表沒被攻擊。
對你的實務建議
企業 / IT 管理者
- 還沒更新的，立刻升到 8.5.12／8.4.27／8.3.36／8.2.35，重啟後確認實際執行的版本。
- 不管有沒有更新，先把
session.upload_progress.enabled=0設下去，等下一個例行版本再說。 - PHP 8.1 以前已停止支援，盡快升級；做不到就先限制對外連線。
- 照 JPCERT 的三個重點翻日誌。真的發現異常，先保全證據再隔離。
- NAS、防火牆、VPN 設備內建 PHP 的，向原廠確認修補狀態。
一般用戶
- 自己架 WordPress 的：到主機商後台確認 PHP 版本。共享主機就寫信問主機商補了沒。
資料來源
- JPCERT/CC 注意喚起（2026/10/22 公開、10/26 更新）：https://www.jpcert.or.jp/at/2026/at260033.html
- PHP 官方公告：https://www.php.net/archive/2026.php
- oss-security（CVE-2026-115560）：https://www.openwall.com/lists/oss-security/2026/10/23/23
- BleepingComputer（2026/10/23）：https://www.bleepingcomputer.com/news/security/php-shares-mitigation-for-new-and-unpatched-rce-vulnerability/
- iThome 資安新聞列表（2026/10/24）：https://www.ithome.com.tw/security/news
發表留言