PHP 爆安全漏洞（php2shell）：香港中小企今晚要做嘅 5 件事

2026 年 10 月 20 日，原本喺保密期內嘅 PHP 漏洞資料被提早洩漏。PHP 官方随即出通告：10 月 21 日 14:00 UTC（香港時間晚上 10 點）出緊急修補，處理兩個嚴重程度 CVSS 9.2 嘅漏洞。

研究員把呢組漏洞叫「php2shell」——意思係只要向網站發一個請求，就有機會直接喺伺服器執行自己嘅程式碼（RCE）。對用 PHP 嘅公司嚟講，呢個唔係「記得更新」咁簡單，而係要當日處理。

發生咩事？

• 兩個漏洞編號：CVE-2026-109618、CVE-2026-109619
• PHP 官方評分：CVSS v4.0 9.2（嚴重）；watchTowr 形容級別更高，並已確認兩個漏洞真實存在
• 截至公布前，未見有大規模實際攻擊
• 受影響版本：報導指由 PHP 5.4 起（官方喺修補公布時才會確認實際範圍）

為什麼香港公司要理？

WordPress、WooCommerce、Magento、Drupal、Joomla、Laravel 全部行 PHP。好多公司唔知道自己有 PHP：官網由外判做、網店由 hosting 托管、NAS 或控制台（cPanel／Plesk）內置 PHP。呢啲全部都係攻擊面。

安全公司 Sansec 估計，修補一出，15 分鐘內就會有人開始掃。呢類攻擊係自動化嘅，唔會揀客。

今晚之前可以做嘅事（workaround）

喺官方修補未出之前，研究員建議先關掉一個預設開啟嘅功能：

• php.ini 加一行：session.upload_progress.enabled = Off
• 同時建議開 session.use_strict_mode = 1
• 改完一定要重啟 php-fpm 或 Apache，設定才會生效

要講清楚：呢個係緩解措施，唔係正式修補，亦唔保證 100% 擋得住。Cloudflare、WAF 都只能擋一部分，唔可以當解藥。

正式解法：修補一出即刻升

報導指修補版本會係 PHP 8.2.35、8.3.36、8.4.27、8.5.12（實際版本以官方公告為準）。PHP 官方只支援 8.2 或以上——即係仲行 8.1、8.0、7.x 嘅系統，官方唔會出修補。

如果你有系統仍然用舊版 PHP，現實做法只有三個：升級、搬去仍未 EOL 嘅版本，或者將佢移離公網（VPN／內部網絡）直至處理好。

點知自己有冇中？

萬一已被利用，最常見嘅痕跡係「PHP 程序開咗一個 shell」。可以留意：

• php-fpm、php-cgi、httpd、apache 程序突然啟動 sh、bash、curl、wget、nc 等指令
• 網站目錄出現唔認識嘅 .php 檔案（webshell）
• 新增嘅 cron job、排程工作或管理員帳戶
• 異常外連、大量掃描或者不明登入紀錄

一旦懷疑中招：先隔離主機、保留 web server 同 PHP log、再做取證。唔好直接重裝當處理完。

中小企 5 步清單

• 1. 盤點：列出所有行 PHP 嘅系統（包括外判網站、網店、NAS、控制台）
• 2. 問 hosting：今日就問供應商幾時會 patch，唔好等佢通知
• 3. 準備窗口：10 月 21 日晚預留時間做更新同測試
• 4. 先備份：網站檔案＋資料庫，確認可以還原
• 5. 開監控：至少有人睇住 PHP 有冇開不明程序

我們的做法

FROMDB 幫客戶做嘅第一件事唔係「裝個工具」，而係先盤點：邊啲系統行 PHP、邊個負責更新、出事邊個跟。呢類漏洞嘅勝負，往往就係喺「有冇人知邊個要更新」呢一點。

想我哋幫你快速盤點現有 PHP 系統、或者代為處理今次更新，可以即刻聯絡我們。

資料來源：PHP 官方安全公告（2026-10-20）、CERT-EU 安全公告 2026-018、watchTowr、Sansec、Huntress、BleepingComputer、Ars Technica。受影響版本及修補版本以 PHP 官方公布為準；本文會隨官方資料更新。