PHP 在 2026 年 10 月 21 日釋出緊急更新，修補兩個高危漏洞：CVE-2026-109618 與 CVE-2026-109619，資安業界稱為「PHP2Shell」。兩個漏洞的 CVSS v4 評分都是 9.2（滿分 10），攻擊者不需要登入，就可能在伺服器上執行程式碼。

PHP 是常見的網站後端語言。很多加密貨幣平台的官網、會員後台和 API 服務都用到它。這次的問題出在這些網站伺服器上，不是區塊鏈本身。

兩個漏洞是什麼

  • CVE-2026-109618：記憶體不足時，PHP 可能在處理請求到一半時中斷，留下沒有初始化完成的資料，之後的清理程序又拿來使用。攻擊者可以用特製的上傳請求觸發。
  • CVE-2026-109619：同一個處理程序會被重複用來處理多個請求。前一個請求結束時已經釋放的記憶體，下一個請求可能又被拿來用（use-after-free，釋放後使用）。

資安公司 Rapid7 指出，風險最高的是 Apache 的 mod_php 架構，因為攻擊可能在網站程式碼執行之前就發生。用 PHP-FPM 的環境風險較低，但也不是完全不受影響。

時間線

  • 10 月 17 日：Amazon 威脅情報團隊在誘捕系統中看到第一筆利用嘗試，比公開揭露早 4 天。
  • 10 月 21 日：PHP 官方釋出 8.5.12、8.4.27、8.3.36、8.2.35 修補版本。同一天稍早，公開的概念驗證攻擊程式已經在網路上流傳。
  • 同一天，美國國家安全局（NSA）與網路安全暨基礎設施安全局（CISA）呼籲立即修補。CISA 表示還沒觀察到實際利用，NSA 則認為攻擊者很可能會把這兩個漏洞拿來使用。
  • 10 月 22 日：區塊鏈資安公司慢霧（SlowMist）掃描 1,488 個加密貨幣產業網域，其中 793 個看得出使用 PHP。慢霧也說明，用 PHP 不等於有漏洞或已經被入侵。
  • 10 月 23 日：PHP 再公布一個相關漏洞 CVE-2026-115560，出在 session 上傳進度功能。依 Cloudflare 的說明，已更新到 8.5.12 的版本也受影響。PHP 表示只有設定特殊的網站會受影響，不發緊急更新，會在下一次例行版本修正。

各家資安公司對「是否已有成功入侵」的說法不一。有的觀察到攻擊嘗試，Rapid7 則表示目前公開的攻擊程式只對特定的系統組合有效。到目前為止，還沒有公開確認的加密貨幣平台入侵案例。

平台端該做什麼

目前建議兩件事一起做：升級到 10 月 21 日的修補版本，並在伺服器層級關閉 session.upload_progress.enabled。後者也是 PHP 對 10 月 23 日新漏洞的建議，在下一次例行版本出來前都適用。Rapid7 另外建議限制上傳請求的大小。PHP 8.1 以前的版本已經沒有官方例行更新，需要升級或找廠商修補。

一般用戶能做什麼

伺服器漏洞要靠平台修補，用戶端沒有辦法直接防範。可以做的是把帳戶本身的防護做好：

  • 開啟兩步驟驗證（2FA），不要只用簡訊驗證。
  • 有提領地址白名單的平台，把常用地址加進去。
  • 留意以「資安升級」為名、要你重新登入或輸入私鑰的訊息。
  • 想確認平台有沒有受影響，以平台官方公告為準。