【PHP 補完又爆三度漏洞】9.2 分兩大缺陷緊急修補　兩日後再揭第三漏洞　官方稱罕見暫不急修

全球最多網站採用的程式語言 PHP，上月經歷一場罕見的連環安全風暴。PHP 開發團隊於 10 月 21 日緊急發布修補，一次處理兩個 CVSS v4.0 評分同為 9.2 分的嚴重遠端代碼執行（RCE）漏洞，兩者合稱「PHP2Shell」。然而修補發布僅兩日後，即 10 月 23 日，PHP 安全團隊又公布第三個漏洞，不過今次official 說法是觸發條件極為罕見，暫時不會發緊急補丁，但仍建議網站管理員檢查一項 session 相關設定。

兩個 9.2 分漏洞 四日內緊急修補

PHP 項目早於 10 月 20 日已經預告將會發布緊急安全更新，原定 10 月 22 日推出，但由於漏洞細節提早在外流傳，團隊決定提前至 10 月 21 日發布。兩個漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619，前者涉及記憶體不足時內部請求數據處理不當，後者則是一個釋放後使用（use-after-free）缺陷，令上一個請求遺留的狀態指向已釋放的記憶體，下一個使用同一 worker 處理的請求因而可被利用，甚至可能導致敏感資料如密碼、認證令牌外洩。兩者均屬未經授權即可觸發的遠端代碼執行風險，受影響版本涵蓋由 PHP 5.4 至最新 8.5 系列，官方最終在 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35 版本中完成修補。值得留意的是，有安全研究人員指出，兩個漏洞的實際風險一度被外界以 CVSS v3 評為 10 分滿分，PHP 官方以 v4.0 標準評定後定於 9.2 分。

修補兩日後 第三個漏洞又現身

正當外界以為事件告一段落，PHP 安全團隊於 10 月 23 日發布新一份資訊性公告，披露第三個遠端代碼執行漏洞，編號為 CVE-2026-115560。與前兩個漏洞不同，今次官方未有公布具體 CVSS 評分，並形容觸發條件屬「極不常見」的組合：應用程式必須先將 session.serialize_handler 設定為 php_binary 或 php_serialize，之後在程式運行期間透過 ini_set() 函數，在呼叫 session_start() 之前，再將該設定切換為 php，同時 session 上傳進度追蹤功能（session upload progress）仍處於啟用狀態，四個條件同時成立才會觸發。由於條件組合罕見，PHP 官方表示暫時不會發緊急修補，將會留待下一次例行錯誤修正版本一併處理，並承諾屆時發布完整公告。截至目前未有證據顯示該漏洞已遭在野利用。

網站管理員應該點做

雖然 PHP 官方認為第三個漏洞的實際風險偏低，但多間安全機構仍建議網站管理員採取預防措施。具體做法是在 php.ini、FPM pool 設定或伺服器層面的設定檔中，將 session.upload_progress.enabled 設定為 0（即關閉），而且要在請求解析之前生效，並重啟所有 worker 進程令設定即時套用。值得一提，若網站管理員早於修補兩個 9.2 分漏洞時已採用相同設定作為緩解措施，則無須再額外處理。至於未曾在程式運行期間切換 session 序列化處理方式（serialize handler）的應用程式，理論上不受第三個漏洞影響，但由於難以逐一排查第三方套件或外掛的程式碼邏輯，安全業界普遍建議「寧願多關一個功能，都好過心存僥倖」。

三個漏洞接連曝光，反映即使是全球使用量最高的伺服器端語言，其安全漏洞的發現與披露節奏亦可以非常急促。對一般網站管理員而言，與其糾結評分高低，更實際的做法是定期留意官方公告，並在修補視窗出現時盡快套用更新，同時檢查 session 相關設定是否符合官方建議的安全基準。

免責聲明：本專頁刊載的所有投資分析技巧，只可作參考用途。市場瞬息萬變，讀者在作出投資決定前理應審慎，並主動掌握市場最新狀況。若不幸招致任何損失，概與本刊及相關作者無關。而本集團旗下網站或社交平台的網誌內容及觀點，僅屬筆者個人意見，與新傳媒立場無關。本集團旗下網站對因上述人士張貼之資訊內容所帶來之損失或損害概不負責。