安全公告與實戰紀錄

安全部落格

記錄真實漏洞、處置決策、可重用工具與可回溯的修復流程。

PHP 安全 CVSS v4.0 9.2

發布於 2026-10-22

PHP2Shell 緊急應變：兩個 CVSS 9.2 的 PHP 遠端程式碼執行漏洞

2026 年 10 月 21 日，PHP 於 14:00 UTC 發布緊急修復。本文完整記錄公告核實、香港生產節點排查、版本升級，以及 Linux／Windows Server 自動檢查與可回溯修復工具。

嚴重程度CVSS v4.0 9.2／重大

處置狀態香港節點已升級並複核

約 10 分鐘CVE-2026-109618
CVE-2026-109619

升級 WordPress、Laravel 或外掛無法修補漏洞，必須更新 PHP 執行環境。

FPM、Apache、IIS 與容器中的舊 worker 不會因套件更新自動消失。

工具備份只涵蓋它管理的 PHP；整機快照仍是首選回溯方式。

本次應變工具

掃描器只做無害的版本與設定盤點；伺服器修復腳本預設只檢查，變更前要求三次確認並產生回溯檔。

HTTP 掃描看不到隱藏版本；不能把「未識別」當成「安全」。