原文標題：php2shell (CVE-2026-109618 and CVE-2026-109619) – PHP critical vulnerability fixes available

Canonical 10 月 21 日公布 Ubuntu 對 PHP 核心漏洞 CVE-2026-109618 與 CVE-2026-109619 的安全修補說明。兩項漏洞均為 CVSS 4.0 9.2 分，官方指出未經驗證的遠端攻擊者可能利用漏洞，以 PHP 應用程式執行身分在目標系統執行任意程式碼。原定協調揭露時間為 10 月 22 日 14:00 UTC，但因資訊外洩提前至 10 月 21 日 14:00 UTC。

Canonical 列出的修補版本為 Ubuntu 14.04 的 php5 5.5.9+dfsg-1ubuntu4.29+esm18；16.04 的 php7.0 7.0.33-0ubuntu0.16.04.16+esm22；18.04 的 php7.2 7.2.24-0ubuntu0.18.04.17+esm14；20.04 的 php7.4 7.4.3-4ubuntu2.29+esm5。較新的 Ubuntu 22.04 對應 php8.1 8.1.2-1ubuntu2.28；24.04 為 php8.3 8.3.6-0ubuntu0.24.04.13；26.04 為 php8.5 8.5.4-0ubuntu1.5；26.10 為 php8.5 8.5.9-0ubuntu2.1。

管理員可先使用 apt list 查詢已安裝的 PHP 解譯器套件，再執行 apt update 與 apt upgrade，或只針對 PHP 套件進行升級。若網站透過 Apache mod_php 執行，更新後需重新啟動 apache2；也可重新啟動整部伺服器，確保工作程序載入新版本。Canonical 提醒 unattended-upgrades 雖可能在 24 小時內自動安裝安全更新，應用程式仍需要重新啟動。

支援權益亦有差異：Ubuntu 22.04、24.04、26.04 與 26.10 在標準支援下取得修補；20.04 與 18.04 透過 Ubuntu Pro 的 ESM 取得維護，16.04 與 14.04 則需 ESM Legacy 附加服務。企業若有長期未更新的主機，應先盤點訂閱資格與套件來源，不可假設所有版本都能透過一般公開更新通道取得修補。

Fastly 10 月 21 日另在 Next-Gen WAF 更新紀錄中加入一條涵蓋 CVE-2026-109618 與 CVE-2026-109619 的虛擬修補規則。官方列出的上游 PHP 受影響分支包括低於 8.5.12、8.4.27、8.3.36、8.2.35 的版本，以及 8.1 和更早版本；這些是 PHP 上游版本門檻，不可直接套用為 Ubuntu 套件版本號，因為發行版可能回移植修補。Fastly 客戶須依 Next-Gen WAF 控制台及方案文件自行啟用規則，官方沒有宣稱所有帳號已預設啟用。

Fastly 的虛擬修補是針對已知攻擊模式增加網路邊界攔截，不能修復 PHP 程式碼本身，也不保證擋住所有變形攻擊。網站管理員應優先安裝發行版正式修補、重新啟動 PHP 工作程序，並檢查日誌是否已有異常請求。這與 Canonical 提供的實際套件更新屬於不同層次的防護措施。

Palo Alto Networks Unit 42 同日發表威脅簡報，指出兩個漏洞 CVSS 4.0 均為 9.2，並提到已觀察到概念驗證程式。其分析稱 CVE-2026-109618 涉及 PHP 在記憶體不足後以 longjmp() 處理錯誤時的請求記憶體初始化問題；CVE-2026-109619 則涉及致命錯誤處理後仍保留指向已釋放記憶體的全域指標，後續請求可能使用該記憶體，進而形成執行任意程式碼的風險。

Unit 42 引用 Cortex Xpanse 遙測，稱發現超過 2,260 萬個可能受影響的對外暴露執行個體，並提及至少一個歐洲政府因應風險預防性暫停網站服務。這是潛在暴露量而非已遭入侵的網站數，不能把它當成確定受害者。Unit 42 列出 Cortex XDR、XSIAM、Cortex Cloud、Prisma Cloud、Cortex Xpanse 與進階威脅防護的偵測或緩解功能，仍建議以 PHP 與發行版正式修補為主要處置。

發生了什麼事

Canonical 發布 Ubuntu 14.04 至 26.10 共八個版本的 php2shell 修補套件；Fastly 加入須自行啟用的 Next-Gen WAF 虛擬修補，Unit 42 提供技術成因與網際網路暴露風險調查。

為什麼重要

兩項 PHP 漏洞可造成未驗證遠端程式碼執行。正式修補、WAF 邊界防護、重新啟動程序與事件調查各有不同作用；不能把 WAF 規則當成根因已修復。

影響哪些人

使用 Ubuntu、PHP、Apache 與其他公開 Web 服務的系統管理員，使用 Fastly Next-Gen WAF 的團隊，以及負責網路暴露面盤點與應變的資安人員。

已確認與未確認

已確認八個 Ubuntu 套件修補版本、Fastly 虛擬修補需自行啟用、兩個 CVE 均為 CVSS 4.0 9.2。2,260 萬為潛在暴露量，不是入侵數；WAF 不能保證阻擋所有利用手法。