原文標題：Patch now: PHP2Shell, Brotli, and eMudhra guidance for customers

Microsoft 安全應變中心（MSRC）10 月 30 日發布跨產品安全更新指引，針對 PHP2Shell 兩項遠端程式碼執行漏洞、Brotli 解碼器記憶體損毀漏洞，以及 eMudhra 憑證授權機構私鑰安全事件，整理已發布的緊急修補、受影響產品、客戶責任及驗證方式。這三項事件來源不同，不能混為同一個漏洞；其中 PHP2Shell 與 Brotli 已被美國 CISA 列入已知遭利用漏洞（KEV）目錄，eMudhra 則是憑證信任問題。

PHP2Shell 涉及 CVE-2026-109618 與 CVE-2026-109619，影響處理 Web 請求的 PHP 環境，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 及 LiteSpeed。官方列出的修補版為 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，或 Linux 發行版已回補的安全套件。CISA 於 10 月 26 日將兩項漏洞納入 KEV。更新套件後仍須重新啟動 PHP-FPM 或 Web 伺服器，讓新的執行檔實際載入；Windows 上自行安裝的 PHP 不會因 Windows Update 自動獲得修補。

Microsoft 表示已透過緊急流程更新自行營運的 Microsoft 365 與多項 Azure 平台服務。Azure App Service for Linux、Static Web Apps 及 Logic Apps 已更新內建 PHP 執行環境；使用已終止支援 PHP 版本的應用程式仍須遷移。Azure 虛擬機器與 VM Scale Sets 若啟用自動客體修補或映像升級，會依維護時段取得更新；手動維護、容器、客製映像及自帶 PHP 的服務，則需要由管理者自行安裝、重建與重新部署。WAF 可降低部分風險，但不能替代修補。

Brotli 解碼器 CVE-2026-111497 涉及 1.0.3 至 1.2.0 版相關實作，可能透過處理不可信的壓縮資料觸發記憶體損毀。官方列出可用修補版本包括 Brotli 1.0.10、1.1.1 或 1.2.1、.NET 8.0.33／9.0.22／10.0.14、Node.js 22.23.4／24.22.1／26.12.1，以及 PowerShell 7.6.9／7.5.13／7.4.22。Microsoft 10 月 25 日針對 .NET 及相關元件發布非例行更新，10 月 30 日另提供 Visual Studio 修補；Git for Windows 應更新至 2.56.0.windows.4 或更新版本。

Microsoft 特別指出，.NET 的 ASP.NET Core 請求解壓縮、HTTP Client 自動回應解壓縮與 System.IO.Compression Brotli API 屬於需要評估的使用情境，其中前兩項預設關閉；PowerShell 的 Invoke-WebRequest 與 Invoke-RestMethod 則預設啟用 HTTP 回應自動解壓縮。Windows 內建舊版 .NET Framework 不受此項影響。自含 .NET 執行環境的應用程式及 Native AOT 成品，光更新主機上的 Runtime 並不足夠，須以已修補 SDK 重新編譯與部署；容器也須更新基底映像並重建。

eMudhra 事件涉及 emSign G3 階層八把可被還原的中繼 CA 私鑰，六把用於 TLS、兩把用於程式碼簽章。這不是一般軟體漏洞，而是可能使偽造網站憑證或惡意簽章被錯誤信任的信任鏈問題。Microsoft 10 月 20 日透過 Windows 不受信任憑證清單封鎖受影響 CA，10 月 26 日發布非例行 Windows 更新移除七張相關信任憑證，10 月 27 日更新 Edge 信任清單；亦更新 Azure Linux、AKS、App Service、Functions、Marketplace 映像及 Microsoft Build of OpenJDK 17、21、25。

管理者必須另外檢查無法連接更新服務的 Windows 主機、Azure VM Scale Sets、WSL、Linux 憑證套件、Java keystore、Python 憑證套件與容器內自帶的信任儲存區。AKS Linux 節點映像應更新至 2026.10.23 或更新版本；使用過期 PHP 8.2 內建映像或其他已停止支援執行環境的 App Service，不能假定已取得憑證更新。若使用的網站憑證串接到被移除的信任根，也須替換憑證與信任鏈。Visual Studio 於 10 月 30 日另針對 CVE-2026-118147 提供修補，涵蓋 VS 2017 15.9、2019 16.11、2022 17.14 與 2026 18.11 等版本。

部署方面，Microsoft 提醒 eMudhra 與 Brotli 的非例行更新可能需要額外重新啟動；即使自動修補已啟用，也應確認維護時段與實際安裝結果。Azure WAF 可對目前分析的部分惡意入站請求提供防護，但不能處理應用程式主動抓取並解壓縮惡意回應的情境。原文同時指出 PHP、Brotli 與憑證信任資料可能被不同產品或第三方套件間接引入，因此盤點必須涵蓋執行環境、函式庫、應用程式映像與獨立信任儲存區，而非只看作業系統版本。

發生了什麼事

Microsoft 10 月 30 日集中公布 PHP2Shell、Brotli 與 eMudhra 三項安全事件的跨產品緊急修補狀態，包含已知遭利用的漏洞、受影響執行環境、更新版本、重新啟動要求及憑證信任清單調整。

為什麼重要

企業可能已更新 Windows 或 Azure 平台，卻仍因容器、自含 .NET 應用程式、過期 PHP、獨立 Java／Python 憑證儲存區或未重新啟動的服務而持續暴露。資安修補必須追蹤到實際運行元件，而非只確認更新套件已下載。

影響哪些人

使用 PHP 架站、部署 Node.js／.NET／PowerShell、使用 Visual Studio 或 Git for Windows、維護 Azure App Service／AKS／虛擬機器，以及自行管理 TLS 信任鏈的 IT、DevOps 與資安團隊，都需要核對版本、部署方式及修補責任。

已確認與未確認

已確認 Microsoft 10 月 30 日公布的版本、服務修補進度、CISA KEV 狀態及非例行更新；不同服務的實際修補完成時間取決於客戶維護窗口。原文未提供所有第三方套件與自建映像的完整清單，也不能據此推算各企業實際受害規模。