PHP2Shell 重大漏洞解析：影響版本、修補方式與 Cloudflare WAF 防護

2026年10月21日，PHP 官方針對兩項重大安全漏洞 CVE-2026-109618 與 CVE-2026-109619 發布安全更新。這兩項漏洞合稱「PHP2Shell」，CVSS v4.0 評分均達9.2分，屬於重大安全風險，攻擊者可能在無需登入的情況下，透過特製 HTTP 請求觸發遠端程式碼執行（Remote Code Execution，RCE）。

由於 PHP 廣泛應用於企業網站、內容管理系統（CMS）及各類 Web 應用程式，這次漏洞不僅影響開發人員，也可能威脅企業網站安全與營運穩定。

企業應立即確認 PHP 版本並完成安全更新。若短期內無法升級，可評估暫時緩解措施，並透過 Web 應用程式防火牆（WAF）建立額外防護，但無法取代正式漏洞修補。

PHP2Shell 的關鍵風險在於，攻擊者可能無需登入即可遠端執行程式碼。企業應優先確認 PHP 版本與修補狀態，而非等待網站出現異常後才採取行動。

PHP2Shell 是什麼？兩項重大 PHP 漏洞解析

PHP2Shell 是 CVE-2026-109618 與 CVE-2026-109619 兩項 PHP 遠端程式碼執行漏洞的統稱，主要涉及 PHP 在記憶體管理與請求狀態處理過程中的安全問題。

攻擊者可能透過特別構造的 HTTP 請求，觸發 PHP 在記憶體配置或錯誤處理過程中的異常行為，進一步利用漏洞。

其中，遠端程式碼執行（RCE）是指攻擊者可能在未經授權的情況下，讓目標伺服器執行惡意程式碼，進而影響系統完整性、資料安全與服務正常運作。

值得注意的是，這兩項漏洞可能在 PHP 預設設定下遭到利用，企業不能只因網站沒有出現異常，就認為系統沒有安全風險。

PHP2Shell 是否已出現攻擊活動？

此次漏洞在原訂公開揭露時程前，已有部分技術資訊提前外洩，促使 PHP 官方提前發布安全更新。

Cloudflare 也表示，已觀察到針對其客戶的相關攻擊流量，以及攻擊者嘗試調整攻擊內容以規避防護規則的行為。

不過，觀察到攻擊嘗試不等於確認系統已遭成功入侵。企業仍應透過版本盤點、日誌檢查與安全監控，確認自身環境是否受到影響。

PHP 重大漏洞影響哪些版本？

本次 PHP2Shell 漏洞涉及多個 PHP 版本分支。PHP 官方已於2026年10月21日發布對應安全修補版本。

除了自行開發的 PHP 系統，使用 PHP 作為執行環境的 WordPress 網站、內容管理系統，以及外部委託維護的企業官網，也應納入檢查範圍。

企業應確認實際執行的 PHP 版本與修補狀態，而不只是檢查網站系統或外掛是否更新。

PHP2Shell 漏洞可能對企業造成哪些影響？

1. 遠端程式碼執行與系統遭入侵

攻擊者可能在無需登入的情況下，利用漏洞讓伺服器執行未經授權的程式碼，進一步影響網站及相關系統安全。

2. 網站服務中斷

惡意 HTTP 請求可能觸發異常記憶體使用、程式錯誤或服務不穩定，影響企業網站、API 及其他線上服務的正常運作。

3. 資料與應用程式安全風險

若漏洞遭成功利用，攻擊者可能進一步威脅應用程式資料、系統設定或其他可存取的伺服器資源。

對企業而言，即使網站目前運作正常，也不代表漏洞不存在。應優先確認受影響範圍與安全更新狀態，而非等待異常發生後才處理。

PHP 重大漏洞如何修補？企業應採取4項措施

1. 盤點 PHP 版本與受影響系統

確認企業網站、API、內容管理系統及其他 Web 應用程式是否使用 PHP，並盤點實際執行版本。

若網站由外部廠商建置或維護，也應主動要求廠商確認版本、漏洞影響範圍與修補狀態，避免遺漏委外管理的系統。

2. 優先更新至 PHP 官方安全修補版本

更新 PHP 至已修補的安全版本，是處理本次漏洞最重要的措施。

企業應依據目前使用的 PHP 版本分支，規劃安全更新，並確認網站程式、外掛及其他相依元件的相容性。

對於已停止 PHP 官方支援的舊版本，應確認作業系統供應商是否提供安全修補，並評估升級至受支援版本。

3. 無法立即升級時，評估暫時緩解措施

若因系統相容性或維護時程限制，暫時無法完成 PHP 升級，可由系統管理人員依照官方建議評估以下措施：

• 停用 PHP Session 上傳進度功能（session.upload_progress.enabled=0），降低部分已知攻擊路徑的風險。
• 限制 HTTP 請求及檔案上傳大小，降低惡意請求造成資源耗盡的可能性。
• 針對 PHP 8.5 環境，評估停用 Fatal Error Backtraces（fatal_error_backtraces=0）。
• 依官方安全公告評估記憶體管理、Web Server 與 Proxy 層級的防護設定。

相關設定應由系統管理人員依照實際環境進行測試與調整，並確認必要的服務重啟作業已完成。

PHP 官方指出，目前沒有能完整阻止這兩項漏洞利用的暫時緩解措施。上述設定只能降低部分已知攻擊路徑的風險，不能取代正式安全更新。

4. 檢查網站日誌與異常請求

除了修補漏洞，企業也應檢查近期網站存取日誌、應用程式錯誤紀錄，以及異常 HTTP 請求行為。

若發現可疑活動，應進一步由資安或系統維運人員評估是否涉及漏洞利用，並依照既有事件應變流程處理。

Cloudflare WAF 如何協助防護 PHP2Shell 漏洞？

面對 PHP2Shell 這類可能透過 HTTP 請求觸發的重大漏洞，除了更新 PHP 本身，企業也可以透過 Web 應用程式防火牆（Web Application Firewall，WAF）建立額外的防護層。

Cloudflare 已於2026年10月21日發布官方安全公告，確認針對 PHP2Shell 部署 WAF 防護措施，並在漏洞正式公開揭露前，就已開始提供相關防護。

1. 部署 PHP2Shell 專屬 WAF 防護規則

Cloudflare 已針對此次漏洞部署相關防護規則，協助辨識及阻擋符合已知攻擊特徵的惡意 HTTP 請求。

相關防護涵蓋 Cloudflare Free、Pro、Business 與 Enterprise 方案，其中免費方案透過 Cloudflare Managed Free Ruleset 提供，付費方案則透過 Cloudflare Managed Ruleset 提供。

企業仍應確認實際規則是否已啟用，以及防護動作是否符合需求。

2. 結合 HTTP 請求與回應的完整交易偵測

此次 Cloudflare 也運用 Full Transaction Detection（完整交易偵測）技術，結合 HTTP 請求與來源伺服器回應的資訊，協助辨識可能的漏洞利用行為。

相較於僅分析請求內容，結合回應訊號有助於提升攻擊偵測能力。

但必須注意，阻擋惡意回應不代表能撤銷來源伺服器已執行的程式碼，因此仍需搭配 PHP 安全修補。

3. 降低漏洞修補期間的攻擊風險

當企業無法立即完成 PHP 升級時，Cloudflare WAF 可作為額外防護措施，協助降低部分已知攻擊手法造成的風險。

此外，企業也應確認來源伺服器的存取限制，避免攻擊流量繞過 Cloudflare，直接連線至來源主機。

Cloudflare WAF 能完全取代 PHP 漏洞修補嗎？

不能。WAF 是額外防護機制，不是 PHP 漏洞的正式修補方式。

WAF 的防護效果仍取決於規則涵蓋範圍、部署方式、流量路徑與相關設定。即使已使用 Cloudflare WAF，企業仍應確認 PHP 版本並完成必要的安全更新。

從 PHP2Shell 事件，看企業網站安全防護的重要性

此次 PHP 重大漏洞再次提醒企業，網站安全不只是單一系統或程式語言的問題。

隨著企業網站、API 與雲端應用程式持續增加，安全風險可能存在於應用程式、第三方元件及基礎架構之中。

即使網站由外部廠商維護，企業仍需要掌握系統版本、弱點修補狀態與相關防護機制，才能在重大漏洞公布時快速評估風險並採取行動。

對於需要持續提供線上服務的企業而言，除了定期更新系統，也應評估 WAF 等網站安全防護措施，降低已知攻擊對營運造成的影響。

樂雲智能為 Cloudflare 台灣授權經銷商，提供 Cloudflare WAF、DDoS 防護及相關企業網路安全解決方案，協助企業依據既有網站架構與安全需求，評估合適的防護方式。

若企業希望進一步了解 Cloudflare WAF 的防護能力、導入方式或既有網站的適用性，歡迎與樂雲團隊聯繫。

參考資料

• PHP 官方網站：PHP 安全公告與版本更新資訊。
• Cloudflare 官方：PHP2Shell 防護措施：Cloudflare WAF 防護部署及完整交易偵測技術。
• Datadog Security Labs：PHP2Shell 漏洞技術分析：漏洞技術原理與風險分析。
• Help Net Security：PHP2Shell 重大漏洞修補資訊：受影響版本與安全修補資訊。