PHP 高危漏洞公開前已有攻擊，網站團隊應回查 10 月 17 日日誌

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-24

TechNews 科技新報報道，AWS 旗下 Amazon Threat Intelligence 在蜜罐網絡發現，與 PHP2Shell 相關的攻擊嘗試最早可追溯至 10 月 17 日；而漏洞資料及修補程式於 10 月 21 日公開。這代表 PHP 網站面對的風險窗口，可能早於一般團隊收到漏洞通告、安排維護時段之前便已開始。

受影響的焦點是兩個與 PHP 記憶體管理相關的漏洞：CVE-2026-109618 及 CVE-2026-109619。TechNews 科技新報指出，兩者嚴重度均為 9.2，攻擊者或可毋須通過身分驗證便遠端執行程式碼。對提供網頁、電商後台或自建 Web 系統的機構而言，任何直接暴露於互聯網、且使用受影響 PHP 版本的服務，都應優先處理。

不過，風險評估也要守住事實邊界。AWS 目前未能確認攻擊者如何在公開前取得利用資訊，亦未證實所觀察到的手法已成功入侵實際運作中的系統。因此，蜜罐上的攻擊紀錄不能直接等同於某個生產網站已失守；但它足以令「等下個例行修補日」的做法變得不合時宜。

為何修補日不再是風險的起點

TechNews 科技新報引述 AWS 分析指，10 月 21 日世界協調時間凌晨約 2 時已出現多組概念驗證（PoC）攻擊程式，其後六小時內，監測系統持續見到透過不同匿名網絡基礎設施發起的嘗試。由於酬載與匿名服務並不相同，AWS 推測可能涉及多名攻擊者。

這個時間線的實務含意很直接：漏洞公告一出，防守方未必仍有數天時間慢慢盤點資產、等待下次變更窗口。AWS 認為，AI 輔助程式分析降低了由修補差異或漏洞公告推導攻擊程式的成本，令公開後數小時內出現攻擊變得更常見。這是 AWS 的研判，不代表今次所有觀察到的嘗試均已造成實際入侵。

網站管理員可先做的三件事

確認實際運行的 PHP 版本與對外入口：不要只看開發環境或套件清單；應核對生產 server、容器及不同網站實際載入的 PHP runtime，並標記可由互聯網存取的網站、API 與管理介面。其後按所用發行版、託管平台或 PHP 供應商提供的已修補版本完成升級。
把調查範圍提前至 10 月 17 日：依 AWS 建議，檢查 Web 與系統日誌中的異常請求、非預期程序執行及檔案變更。對有集中日誌的平台，宜同時查看 Web server、PHP 執行環境及主機層面的紀錄，避免只憑單一 access log 下判斷。
限制不必要的外部暴露：暫時不需要公開的測試站、管理頁面或舊系統，應收窄存取範圍。這不能取代升級；TechNews 科技新報指出，AWS 強調單靠調整系統設定無法完整修補兩個漏洞，升級至安全版本仍屬必要措施。

對香港的網站營運團隊來說，這宗事件未有提供本地受害統計，也不能據此判定本地系統已受波及；但企業網站、網店與自行維護的 PHP 系統普遍依賴公開 Web 服務，事故排查與緊急修補的優先次序值得立即覆核。下一步應觀察是否有更多經確認的攻擊指標、受影響版本資訊及實際入侵個案披露，並據此更新偵測規則與修補流程。