原文標題：Cloudflare deploys protections against php2shell vulnerability
10 月 21 日，Cloudflare 說明兩項 PHP 核心安全漏洞 CVE-2026-109618 與 CVE-2026-109619，合稱 php2shell。官方指出，PHP 5.4 以後的執行環境可能因特製 HTTP 流量觸發錯誤記憶體處理，造成服務中斷、敏感資料外洩或遠端程式碼執行。漏洞位於 PHP 執行階段本身，僅更新網站外掛或應用程式碼不足以修復。
兩項缺陷都與 PHP 發生異常時的記憶體狀態有關。CVE-2026-109618 涉及記憶體不足中止流程後，清理階段使用尚未正確初始化的資料；CVE-2026-109619 則涉及致命錯誤留下已釋放記憶體的參照，之後的請求可能再度存取。Fastly 在官方說明中將兩者 CVSS 4.0 評為 9.2 分。
目前 PHP 專案針對受支援分支提供 8.5.12、8.4.27、8.3.36 與 8.2.35 修補版本。PHP 8.1 或更舊版本沒有一般上游正式修補版本，部分長期維護發行商可能另行回補；使用者應查核所用發行版的實際修補狀態，或升級到受支援分支。DigitalOcean 也提醒，公開概念驗證程式已出現，單靠暫時緩解措施無法取代更新。
Cloudflare 表示，自 10 月 21 日 03:02 UTC 起，已替啟用其 WAF 的免費與付費客戶預設部署 php2shell 防護。該公司另採用結合 HTTP 請求與回應的完整交易偵測，以降低誤判並辨識成功利用跡象。Fastly 則提供需由客戶自行啟用的 Next-Gen WAF 虛擬修補規則；兩家都強調 WAF 是額外防線，不是 PHP 更新的替代品。
DigitalOcean 公告列出不同產品的處理方式：Functions 的 PHP 執行環境已修補，客戶須重新部署以套用；App Platform 的 PHP buildpack 已修補，應用也需重新部署；Cloudways 正進行託管版本修補；Marketplace 既有 1-Click 映像部署不會自動更新。Droplets、DOKS 與容器環境是否受影響，則取決於使用者自行安裝的 PHP 與映像版本。快照或舊備份還原後也應再次確認版本。
網站維運人員應盤點 PHP CLI、Web SAPI、容器映像、CMS、管理後台及長期未更新的應用環境，確認實際使用的執行版本。若短期內無法升級，可暫時限制不必要的上傳與請求、啟用 WAF 或依供應商指引減少曝險，但仍須安排正式修補。
另一官方來源：Patch the Planet: global response coordination as agents uncover critical vulnerabilities
OpenAI 於 10 月 21 日公開 Patch the Planet 的漏洞協調經驗，說明在 AI 代理程式開始協助發現關鍵軟體漏洞後，維護者、研究者、資安業者與基礎設施供應商如何合作完成修補與負責任揭露。公司指出，近期 PHP 的重大漏洞處理涉及維護團隊、Wiz、Cloudflare 等合作夥伴，並強調修補與版本發布仍由 PHP 維護者主導。
依公告，名為 Calif 的研究者使用 GPT-5.6 Sol 發現 PHP 重大缺陷，Wiz 也獨立發現並通報相關漏洞。研究與防禦團隊在公開揭露前協助驗證修補、測試防護措施，並向可能受影響的服務提供者協調。OpenAI 表示，這類問題可能波及大量網站與應用程式，因此不能只完成上游程式碼修補，還必須讓下游套件維護者、主機商及企業管理員有足夠時間更新。
OpenAI 提出五階段協作方向：首先由維護者與研究人員確認漏洞並測試修補；其次評估哪些組織需要提前收到資訊；再由政府機關協助關鍵基礎設施與重要服務進行風險溝通；接著準備受影響產品的更新；最後公開指引並持續追蹤部署。公司提到已與美國政府相關資安單位及國際夥伴合作，但不表示所有政府單位都參與每一件漏洞事件。
對於 PHP 使用者，OpenAI 的優先建議是依 PHP 維護者與服務提供者發布的指引更新。公司另提供 PHP 版本檢查的 Codex skill，協助管理者辨識可能受影響的版本，但這種工具不能取代套件盤點、修補驗證與事後調查。OpenAI 也提醒，暫時緩解措施可能有適用限制與營運代價，風險排序應依實際暴露面、是否已有攻擊與業務衝擊調整。
OpenAI 表示已承諾十億美元規模的 Daybreak 補助存取，協助資源有限、負責保護重要服務的防禦組織使用進階模型。公告也提及支援開源維護者、記憶體安全程式語言遷移與形式驗證等長期方向。這些是資安支援計畫與未來合作方向，不等於 PHP 所有受影響系統已完成更新，也不代表每項漏洞都已公開完整技術細節。
發生了什麼事
10 月 21 日公開的 php2shell 包含兩項 PHP 核心記憶體安全漏洞，已有對應受支援分支修補版本。雲端與 CDN 業者同步推出不同層級的暫時防護。
OpenAI 公開 Patch the Planet 的跨組織漏洞應變框架，並以近期 PHP 漏洞修補與揭露協作為案例。
為什麼重要
缺陷不在單一網站外掛，而在廣泛部署的 PHP 執行環境；即使前端應用程式未改動，也可能因伺服器執行版本而暴露風險。
AI 輔助發現漏洞的速度可能快於傳統修補與部署流程；跨維護者、主機商、資安團隊的協調機制有助縮短防禦空窗。
影響哪些人
使用 PHP 的網站管理者、主機商、容器與雲端平台維運團隊、WordPress 與 Laravel 等服務部署者，均應確認實際執行版本與供應商回補政策。
PHP 網站維運人員、開源專案維護者、資安應變團隊、雲端與主機服務商，以及關鍵基礎設施管理者。
已確認與未確認
已確認四個 PHP 8.2 以上分支的修補版號，以及 Cloudflare 預設部署與 Fastly 手動啟用的 WAF 差異。尚不能將 WAF 命中數視為成功入侵數，也不能據此推斷所有站台已被利用。
已確認官方公布協作方向、PHP 版本檢查工具及十億美元 Daybreak 補助存取承諾；各產品受影響版本、補丁與是否遭利用，仍應以 PHP 與相關供應商安全公告為準。
