2026-10-23 - 台灣二版有限公司

威脅概述： 「PHP2Shell」的曝光——這是一對被追蹤為 CVE-2026-109618 和 CVE-2026-109619 的嚴重遠端程式碼執行 (RCE) 漏洞——已使數百萬台網頁伺服器、內容管理系統 (CMS) 及面向網際網路的應用程式立即面臨嚴重危險。

這些漏洞的 CVSS v4.0 嚴重性評分為 9.2（嚴重），深藏於 PHP 5.4 至 8.5.11 版本的核心引擎中。它們使未經身分驗證的威脅攻擊者能透過單一、特製的 HTTP 請求執行任意程式碼。

對於託管服務供應商 (MSP) 和網路安全團隊而言，在高度分散的客戶網路中映射出每一個易受攻擊的資產是一場與時間的賽跑。Guardz 為 MSP 提供了對 PHP2Shell 暴露無與倫比的可見度。透過利用自動化的外部足跡掃描 (External Footprint Scans) 和持續的態勢監控，Guardz 讓安全團隊能在攻擊者武器化這些脆弱基礎設施之前，將其精準定位。

託管服務供應商的當務之急

延遲修復絕不是個選項。以下是為何 MSP 必須積極優先處理此威脅的原因：

驗證前觸發： 攻擊者可以完全繞過登入畫面。透過發送異常龐大的有效負載，他們可以在 CMS（如 Joomla、Drupal 或 WordPress）或網頁應用程式嘗試驗證使用者憑證之前，觸發記憶體不足 (OOM) 損壞。
影子 IT 的威脅： PHP 不僅僅運行您客戶的主要網站。它也是次要子網域、網路監控儀表板（如 Zabbix）以及依賴已終止支援 (EOL) 的 PHP 分支（如 7.4.x 或 8.0.x）的被遺忘傳統應用程式的隱藏骨幹。
主動武器化： 威脅情資遙測證明，網路犯罪分子在官方修補程式發布的前幾天，就已積極嘗試利用這些漏洞。快速發現是您唯一可行的防禦措施。

利用 Guardz 發掘 PHP2Shell 暴露風險

Guardz 透過自主且持續地掃描和分類您客戶的外部攻擊面，消除了手動尋找暴露伺服器的負擔。它將這些情資無縫地集中在一個統一的偵測與回應 (Detection & Response) 主控台中。

智慧外部足跡掃描

Guardz 外部足跡掃描會主動追蹤所有受管租戶中暴露於網際網路的網域、子網域和網頁伺服器。它會對驅動這些網站的技術堆疊進行指紋辨識，以嗅探出未修補的 PHP 部署。

如果暴露的網域使用了受損的 PHP 版本（例如 PHP 8.0.27），Guardz 會立即產生一個歸類在易受攻擊技術 (Vulnerable Technologies) 下的嚴重 (Critical) 警報（具體為易受攻擊技術網頁應用程式嚴重或易受攻擊技術一般嚴重）。

精確的資產與版本追蹤： 在「問題總覽 (Issue Overview)」面板內，Guardz 會識別確切受損的網域（無論是主網域還是像是 zabbix.* 的第三級子網域），並強調顯示正在運行的特定 PHP 版本。
自動化 CVE 標記： Guardz 動態關聯新發現和現有的技術缺陷，直接將 CVE-2026-109618 和 CVE-2026-109619 附加到資產的漏洞矩陣中，與任何舊版 CVE 並列。

UI 導覽脈絡：定位威脅

在主要的偵測與回應 (Detection & Response) 主控台中，篩選外部足跡掃描 (External Footprint Scan) 問題，將會浮現以紅色標記的高優先級、嚴重警報。這些反白顯示了需要立即介入的特定網頁伺服器技術。

UI 導覽脈絡：資產關聯與驗證

當選取被標記為嚴重的資料列時，會出現問題總覽 (Issue Overview) 側邊面板。此視圖豐富了原始資產資料，明確地將特定網域名稱與 CVE-2026-109618 及 CVE-2026-109619 標示配對。一旦應用了修復工作流程，Guardz 會提供工具來驗證受影響的 PHP 實體是否已在所有受管環境中成功修補。

MSP 行動計畫：逐步修復指南

為了使用 Guardz 保護您的客戶免受 PHP2Shell 漏洞利用，請執行以下結構化的回應教戰守則：

稽核外部足跡問題： 在您的 Guardz 儀表板中，導覽至偵測與回應 > 問題 > 外部足跡掃描 (Detection & Response > Issues > External Footprint Scan)。調整您的狀態篩選器，以審查易受攻擊技術網頁應用程式嚴重和易受攻擊技術一般嚴重的「開啟 (Open)」和「已忽略 (Ignored)」警報。
檢查 CVE 詳細資訊： 點擊被標記的資產以展開「問題總覽」抽屜。仔細檢查 PHP 詳細資訊區塊，以驗證確切的網域、目前安裝的 PHP 版本，以及 PHP2Shell CVE 的活躍存在。
部署已修補的 PHP 版本： 利用 Guardz 中的「修復 (Remediation)」選項。立即將受損伺服器更新至安全版本：8.2.35、8.3.36、8.4.27 或 8.5.12。對於已終止支援 (EOL) 的版本（例如 PHP 8.0.27 或 8.1）：您必須強制升級至受支援的分支 (8.2+)，或套用您的 Linux 發行版（Red Hat、Ubuntu、Debian 或 CloudLinux/cPanel）提供的特定供應商向後移植修補程式。
重新啟動 Worker 並重建容器： 僅更新軟體套件是不夠的；在行程被清除之前，PHP 將繼續執行常駐在記憶體中的易受攻擊程式碼。您必須重新啟動 php-fpm 或 Apache (mod_php)，並徹底重建/重新部署任何容器化的 PHP 工作負載。
進行態勢與身分衛生檢查： 調查 Guardz 內的端點態勢 (Endpoint Posture) 和身分威脅偵測與回應 (ITDR) 警報。您必須確認攻擊者在您修補之前的空窗期內，沒有建立未授權的管理員帳戶、衍生流氓 shell 行程，或執行橫向移動。

解決潛伏與被忽略的風險

管理「警報疲勞」是 MSP 長期的掙扎，尤其是對於過去可能故意忽略或降低舊漏洞優先級的傳統網頁伺服器。

重新浮現被遺忘的暴露風險： 如果某個未修補的網頁技術警報先前被 MSP 忽略，或在過去的掃描中殘留下來，Guardz 會自動覆蓋此狀態，動態地將 CVE-2026-109618 和 CVE-2026-109619 注入資產的活動清單中，以引起強制注意。
AI 驅動的優先級劃分： Guardz 利用直接嵌入在「偵測與回應」介面中的 AI 洞察 (AI Insights)。這使安全團隊能夠排除營運噪音，清楚評估這些新武器化的 CVE 的極端嚴重性，並在複雜的多租戶環境中協調立即的分類與處理。

全面的端點態勢與防禦

如果威脅攻擊者透過 PHP2Shell 成功入侵面向公眾的網頁伺服器，他們緊接著的下一步行動通常包括投放 web shell、竊取管理員憑證，或在內部網路中橫向移動。

Guardz 的端點防護 (Endpoint Protection) 和端點態勢監控作為關鍵的第二道防線。透過無情地驗證所有受管裝置上的主動防毒狀態、強制性作業系統更新、嚴格的防火牆設定和磁碟加密標準，Guardz 確保您的端點在漏洞利用後的橫向移動中保持高度韌性。

關於 Guardz
Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

關於 Version 2 Digital
Version 2 Digital 是亞洲最有活力的IT公司之一，公司發展及代理各種不同的互聯網、資訊科技、多媒體產品，其中包括通訊系統、安全、網絡、多媒體及消費市場產品。透過公司龐大的網絡、銷售點、分銷商及合作夥伴，Version 2 Digital 提供廣被市場讚賞的產品及服務。Version 2 Digital 的銷售網絡包括中國大陸、香港、澳門、台灣、新加坡等地區，客戶來自各行各業，包括全球1000大跨國企業、上市公司、公用機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

Guardz 2026

立即修復指示

您的事件回應與 IT 團隊應立即優先採取以下行動：

盤點您的攻擊面： 記錄環境中每一台伺服器及內建 PHP 的第三方設備。優先處理直接暴露於公共網際網路的基礎設施。

套用緊急修補程式： 升級至已確保安全的 PHP 版本：8.5.12、8.4.27、8.3.36 和 8.2.35（或部署特定供應商提供的等效修補套件）。注意： PHP 8.1 及更舊的版本將不會收到官方上游發布的更新；您必須向您的作業系統發行版或長期支援 (LTS) 供應商尋求安全修補程式。

補償性控制措施（若延遲修補）

如果您無法立即部署修補程式，您必須主動削弱攻擊者利用該缺陷的能力：

修改您的 php.ini 或 PHP-FPM 資源池設定，將 session.upload_progress.enabled=0，然後重新啟動所有 PHP worker 行程。
若執行的是 PHP 8.5，您必須額外設定 fatal_error_backtraces=0。
在您的反向代理或網頁伺服器層（例如 Nginx、Apache）強制執行嚴格的 HTTP 請求大小限制。
在應用程式不嚴格要求檔案上傳的任何端點上，主動阻擋 multipart/form-data 負載。

行為威脅狩獵（無 Mendel 平台的情況下）

靜態 IOC 和網路特徵碼的可靠性幾乎會立即降低。如果您未使用 Mendel 平台進行進階偵測，您的安全營運中心 (SOC) 必須轉向行為狩獵。尋找以下異常情況：

可疑負載： 監控人為注入 PHP_SESSION_UPLOAD_PROGRESS 變數的 Multipart POST 請求。

錯誤爆發： 留意來自單一用戶端 IP 的 multipart POST 請求後，突然出現密集的 5xx HTTP 錯誤（特別是 502 Bad Gateway 或 503 Service Unavailable）。將此情況與後端 PHP 日誌中的 Allowed memory size ... exhausted 致命錯誤進行交叉比對。

記憶體外洩指標： 仔細檢查 HTTP 回應中 Set-Cookie 標頭內過大或結構畸形的 PHPSESSID 字串，這強烈暗示記憶體正在被成功外洩。

漏洞利用後衍生行程： 尋找網頁伺服器子行程非法衍生 shell（sh、bash）或命令列網頁用戶端（curl、wget）。此外，監控網頁伺服器是否有異常的對外連線或內部網路偵察探測。

受駭主機的事件回應協議

如果您的行為狩獵確認已遭入侵，您必須果斷採取行動。立即將受影響的伺服器從網路隔離，保存所有封包擷取和系統日誌以供鑑識，並套用修補程式。

至關重要的是，由於記憶體外洩漏洞利用不會留下竊取了什麼內容的鑑識足跡，您必須假設憑證已全面外洩。您必須輪替（更換）PHP worker 在攻擊當下可能保留在記憶體中的每一個機密資訊。這包含資料庫密碼、API 金鑰、工作階段機密 (session secrets) 和 TLS 私鑰。輪替是應對記憶體暴露在數學上唯一安全的做法。

關於可見度的最後一點提醒： TLS 加密本質上會使網路入侵感測器無法看見網頁請求的內容。如果您的架構使您無法在邊緣解密流量以進行檢查，您必須完全依賴上述的後端行為指標和日誌異常。