PHP
該標籤下有 3 篇文章
緊急 PHP 更新後該檢查什麼：網頁 PHP 與命令列 PHP 的差異、set -e 與 diff 結束代碼，以及入侵再檢查
在 2026 年 10 月回應嚴重 PHP 漏洞期間，本站營運者管理的一個網站已更新網頁 PHP，但 cron 使用的命令列 PHP 仍指向舊版本。請分別檢查網頁與 CLI。在 set -e 之下，diff 與 grep 會以結束狀態 1 表示「發現差異」或「沒有符合」，進而中止腳本；請分別處理 0、1 與 2。修補後，請對每台伺服器執行相同的入侵檢查清單；若日誌出現可疑紀錄，請比對線上檔案與已知正常的部署副本來釐清。
Linux 核心 Fragnesia（CVE-2026-46300）：CISA 列為已遭利用，期限為10月31日；請修補 PHP 與核心，然後重新開機
CVE-2026-46300，暱稱 Fragnesia，是 Linux 核心中的一個漏洞，可讓低權限的本機用戶取得 root 權限（CVSS v3.1 7.8，本機攻擊向量）。核心在網路緩衝區之間搬移資料片段時，可能遺失一個標記，該標記表示這些資料與記憶體中的某個檔案共用，隨後 IPsec ESP 程式碼可能在該唯讀檔案的快取副本上直接解密並覆寫。核心專案於2026年5月23日發布了該 CVE，修復包含在核心 5.10.257、5.15.208、6.1.174、6.6.141、6.12.91、6.18.33 與 7.0.10 及之後的版本中。2026年10月28日（美國時間），CISA 基於存在活躍利用的證據，將其加入已知遭利用漏洞（KEV）目錄，美國聯邦機構的期限為10月31日。CISA 的描述表示，它可與 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 串聯，植入 PHP webshell 並以 root 身分執行指令。一家資安公司報告指出，這條攻擊鏈被用於攻擊 25 台伺服器（大多是防火牆），SecurityWeek 轉述了該報告；本站未獨立查證這些數字。Ubuntu、Red Hat 與 Debian 已發布修復核心，而核心更新必須在重新開機後才會生效。本站的結論是：若您在 Linux 上執行 PHP 網站，請更新 PHP 與核心，重新開機，並檢查是否有 webshell。
【快訊】PHP 漏洞 CVE-2026-109618 與 CVE-2026-109619 已遭利用，列入 CISA KEV 目錄：請立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026 年 10 月 21 日，PHP 安全團隊發布 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，修補兩個可能允許未經驗證遠端程式碼執行（RCE）的嚴重漏洞，並敦促所有使用者立即更新。CVE-2026-109618 涉及記憶體不足（out-of-memory）處理，CVE-2026-109619 涉及請求之間殘留的過期內部狀態；依 CVSS v4.0 兩者皆為 9.2 分。所有處理網頁請求的 PHP 安裝都有風險（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）。該團隊認為 mod_php 風險最高，並引用一個已示範的攻擊程式：未經驗證的請求會在任何應用程式碼執行前就觸發攻擊。PHP 8.1 及更舊版本不會獲得官方更新；該團隊為 7.4、8.0 與 8.1 提供了最小化的原始碼回補修補程式。Linux 發行版已提前取得修補程式。目前沒有完整的緩解方式，更新是唯一安全的選擇。10 月 22 日，日本 IPA 與 JPCERT/CC 發布警示，JVN 發布 JVNVU#99905564。CISA 在首次發布警示時尚未觀察到遭利用，但已於 10 月 26 日將這兩個漏洞列入其已知遭利用漏洞（KEV）目錄，並為美國聯邦民事機構設定 10 月 29 日的期限。據媒體報導，一名資安研究人員以 mod_php 執行未修補 PHP 8.4.26 的蜜罐系統，於 10 月 24 日遭成功遠端程式碼執行。一家大型雲端供應商的蜜罐系統在揭露前四天（10 月 17 日）就已看到遭利用的嘗試。就本站所能查到的範圍，截至 10 月 27 日，尚無蜜罐系統以外的入侵事件被公開。多數日本主要共享主機業者已宣布修補已套用，但部分業者（例如 KAGOYA）尚未宣布。10 月 23 日，PHP 團隊揭露第三個問題（CVE-2026-115560），該問題未被 10 月 21 日的版本修補。它只有在特定的設定與應用程式碼組合下才可能導致程式碼執行；該團隊認為實際上不太可能發生，將於下一個例行版本中提供修補與完整公告，並建議在此之前設定 session.upload_progress.enabled=0。受影響版本與 CVSS 分數尚未公布，也沒有任何遭利用的通報。截至 10 月 29 日（在 php.net 上查看），此問題的修補版本尚未發布。10 月 28 日，CISA 還將 Linux 核心漏洞 CVE-2026-46300 列入 KEV（美國聯邦機構的期限為 10 月 31 日），並表示它可以與這兩個漏洞串聯，用於植入 PHP webshell 並以 root 身分執行指令。本站的看法：遭利用現已獲得確認，請確認你或你的主機業者是否為各網站更新 PHP，並今天就升級至修補版本。同時請檢查 10 月 17 日起的日誌，尋找入侵跡象。若使用共享主機，請在業者官方網站查看其完成公告。