PHP嚴重漏洞｜隱藏於設備及應用程式 HKCERT籲企業全面盤點
PHP 安全團隊近日緊急發布更新，修補兩個合稱「PHP2Shell」的嚴重漏洞（CVE-2026-109618及CVE-2026-109619）。香港網絡安全事故協調中心（HKCERT）提醒，遠端攻擊者可利用相關漏洞執行未經授權的程式碼，企業及機構應盡快識別受影響系統，優先修補可經互聯網存取的服務，並檢查有否遭入侵。
今次風險不僅涉及網站伺服器。部分企業應用程式、網絡及保安設備、儲存與監控系統亦可能內嵌 PHP，成為日常資產及漏洞管理的盲點。網絡安全專家指出，AI 正加快漏洞分析及攻擊工具開發，進一步壓縮機構的應變時間。
內嵌版本與作業系統顯示未必一致
PHP 廣泛應用於公眾網站、內容管理系統及網站寄存平台，亦是部分第三方產品的底層技術。HKCERT 指出，不少企業設備的管理後台或運作元件可能使用 PHP，而內嵌版本未必與作業系統所顯示的版本一致。即使主要伺服器已完成更新，其他未納入管理清單的元件仍可能留下安全風險。
Sophos Counter Threat Unit 威脅情報副總裁 Don Smith 表示，當前挑戰不單是安裝修補程式，更在於識別及妥善管理所有正在運行 PHP 的環境。由於 PHP 應用廣泛，機構即使正在使用相關系統，也未必察覺當中涉及 PHP。
HKCERT 因此提醒，企業不能只檢查網站使用的 PHP 版本，而應全面盤點所有可能使用 PHP 的產品、服務及對外系統，並主動向供應商確認受影響範圍及修補安排。
相關新聞：PHP嚴重漏洞｜70%網站或受影響 歐洲多國政府網站暫停服務
AI 縮短漏洞利用時間
據 HKCERT 引述的公開資料，相關漏洞早於 2026 年 8 月已由安全研究人員運用 AI 技術發現，並通報 PHP 團隊修補。隨着漏洞資料公開，多家網絡安全機構亦偵測到針對相關漏洞的大規模掃描及攻擊行為。
Sophos Counter Threat Unit 威脅研究高級總監 Chris Yule 表示，其團隊的研究印證其他機構的發現：相關技術能以可預測的方式造成記憶體損毀，並繞過 PHP 部分位址空間配置隨機化（ASLR）防護機制。在 AI 協助下，攻擊者可更快將漏洞轉化為實際攻擊，甚至在短時間內開發出可用的漏洞利用程式。
HKCERT 指出，AI 工具正降低漏洞分析及概念驗證程式碼（PoC）開發的技術門檻。當技術細節公布後，攻擊者可能更迅速開發攻擊工具，令漏洞披露、掃描至嘗試利用之間的時間進一步縮短，企業過往在安全更新發布後才逐步安排修補的做法，將面臨更大風險。
舊系統及專用設備難更新
Chris Yule 指出，部分舊有系統及專用設備仍在運行存在漏洞的 PHP 版本，卻未必能直接更新或更換。這類設備可能猶如在「黑盒」環境中運作，網絡安全團隊難以掌握其軟件版本及修補狀況，往往需要依賴供應商提供更新，因此額外防護措施對降低暴露風險十分重要。
他提醒，機構必須找出仍在運行的受影響系統及設備，否則攻擊者可能在企業察覺這些資產存在之前，已率先發現並加以利用。
Don Smith 則表示，安全團隊應優先處理面向互聯網的系統，在官方安全公告發布後盡快確認受影響版本並更新。他引述英國國家網絡安全中心（NCSC）的建議指出，存在漏洞但未能安裝修補程式的系統，應與互聯網隔離，直至能採取適當保安措施。
HKCERT 提五項措施 優先修補對外服務
HKCERT 呼籲企業及機構立即採取以下行動：
．全面盤點 PHP 資產：識別組織內所有運行 PHP 的系統，尤其是面向互聯網的伺服器，以及設備管理介面和內部元件。
．盡快安裝安全更新：將 PHP 升級至已修補版本，包括 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，並按所屬Linux發行版或供應商的指引更新，重新啟動相關服務或系統，確保修補生效。
．主動聯絡供應商：確認設備及軟件的受影響情況和更新安排。PHP 8.1 或更舊版本已不再獲 PHP 官方支援，使用者應盡快升級至受支援版本，或向所屬發行版及長期支援（LTS）供應商查詢修補程式。
．降低未修補系統的對外曝露：如未能即時更新，應考慮暫時將受影響系統下線，或與公共網絡隔離。
．檢查異常及入侵跡象：檢視系統紀錄及網絡流量，留意異常請求、未經授權的程式碼執行及其他可疑活動。
Don Smith 亦提醒，機構須密切監察 PHP 及網頁伺服器，留意異常程序與可疑指令執行活動，以判斷攻擊者是否已滲透系統。HKCERT 表示，如發現可疑活動，應立即隔離受影響系統、保留相關紀錄，並展開事故應變工作。
