PHP2Shell 波及防火牆、NAS 與工控介面：管理員先查甚麼

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-11-02

PHP2Shell 是 iThome 報道中對 CVE-2026-109618 與 CVE-2026-109619 的合稱。事件的重點不只在自架 PHP 網站：多款防火牆、NAS、server 管理工具及工業系統的網頁管理介面，也可能內置受影響的 PHP 元件。對企業而言，不能只靠掃描自家網站的 PHP 版本，還要把 appliance、管理平台和供應商提供的虛擬機器納入盤點。

不過，受影響與已遭入侵是兩回事。iThome 的資料是截至 2026 年 10 月底各廠商公告的彙整，沒有提供 CVSS 分數、漏洞技術成因或已在野利用的證據；報道提及「七成網站 server」的說法，亦未列出量度方法。實際可用的修補版本與產品狀態變動很快，部署前後均應以相關廠商 PSIRT 或安全公告為準。

為何 appliance 比單一網站更難處理

PHP 若只運行在自家網站，團隊通常可從程式庫、容器映像或作業系統套件追查版本。但在防火牆、NAS 或 OT 管理平台中，PHP 往往隨韌體或整套管理軟件交付，管理員未必可自行替換元件；有些產品更只能等待供應商 hotfix，或需要由原廠支援人員執行更新。

這帶來兩個風險。第一，外連的登入頁、VPN portal、身份驗證頁及管理主控台，通常比一般內部服務優先處理，因為它們面向較大的攻擊面。第二，OT 或儲存系統的更新需要評估停機、相容性和回復安排，不能因為急於修補而繞過既有變更流程。這是根據產品部署方式作出的風險排序分析，並不代表任何一款產品已被利用。

公告反映哪些系統類別受波及

iThome 指出，受影響清單已跨越 IT 與 OT 環境，以下是較值得香港企業和自架用戶優先核對的類別：

網絡安全與遠端存取：Check Point 的部分 Force、Spark 及 Cloud Firewalls 功能受影響；Palo Alto Networks 部分 PAN-OS 版本亦在列。F5 BIG-IP、Citrix NetScaler ADC／Gateway 也曾列為受影響產品。這些系統常承載外部登入或管理功能，應先確認是否啟用相關 portal。
NAS 與檔案服務：iThome 列出 ASUSTOR ADM 多個分支，以及 QNAP QTS、QuTS hero、QuTScloud、QVR Surveillance、TVR OS 等版本。Synology 則列出 Calendar、Mail Station、IDrive、Joomla 及 KodExplor；報道未提供其修補版本，使用者應直接查看 Synology 公告。
工控與營運管理：ABB B&R APROL、部分 ABB MES 系統、Schneider Electric EcoStruxure 系列、Johnson Controls CEM AC2000，以及 Wibu-Systems CodeMeter License Central 都在報道列出的範圍內。此類系統宜由 IT 與 OT 團隊共同確認維護窗口。
Linux、雲端與軟件供應鏈：AWS、Google Cloud、Red Hat、SUSE 等公告顯示，雲端平台本身未必受影響，但客戶自行運行的 PHP 工作負載或特定套件仍可能需要更新。Broadcom 的部分 PHP Buildpack、WordPress、Drupal、Nextcloud 等映像亦被列出。

同一報道亦記錄部分廠商確認產品沒有採用 PHP 或不受影響，例如 Acronis Cyber Protect、GitLab、Moxa、Nozomi Networks、Rockwell Automation、SonicWall 多項產品及 TXOne Networks 多個系列。這些結論同樣應以產品型號、版本及公告日期核對，不應延伸至該廠商所有產品。

實務處理次序

建立資產清單：除了 Linux server 和網站，列出防火牆、VPN、WAF、NAS、身份系統、監控平台及 OT 網頁管理介面；記錄型號、韌體、啟用功能與是否可由互聯網存取。
逐一比對原廠公告：不要只按「使用 PHP」判斷。部分產品雖有 PHP，但原廠認為不可利用；另一些則已有指定 hotfix 或韌體。以序號、分支和功能設定核對。
先處理外連管理面：在完成更新前，按業務需要收緊管理介面的來源網段與存取權限，並檢視遠端存取功能。任何暫時限制都應保留必要的營運通道，避免影響維運或工控操作。
安排受控更新及驗證：先備份設定和確認回復方案，再套用原廠更新；更新後測試登入、VPN、儲存服務及與其他系統的整合。QNAP 部分修補在 iThome 報道中標為 Public Beta，生產環境採用前尤其應按原廠指引評估。
保留調查所需紀錄：集中保存管理 portal、身份驗證、VPN 與系統更新的日誌。由於來源沒有列出可用入侵指標，現階段不宜把一般異常直接歸因於 PHP2Shell，但日誌可支援後續核查。

iThome 報道所列例子顯示，供應商的處理狀態並不一致：有些已推出更新，有些仍在調查，也有產品要待日後版本才修補。下一步值得留意的是仍在評估中的產品公告，以及那些只能透過大型韌體升級或供應商介入才能修補的 OT 與網絡管理平台。