香港網絡安全事故協調中心（HKCERT）提醒本港企業及機構， PHP 安全團隊近日緊急發布安全更新，修補兩個合稱「PHP2Shell」的嚴重漏洞（CVE-2026-109618及CVE-2026-109619）。遠端攻擊者可利用相關漏洞執行未經授權的程式碼，受影響的PHP系統須盡快修補漏洞。
「 PHP 2Shell」嚴重漏洞
HKCERT特別提醒，今次漏洞的潛在風險並不限於一般網站伺服器。不少企業日常使用的應用程式、網絡及保安設備、儲存及監控系統等，其管理後台或運作元件亦可能內嵌PHP，而相關PHP版本未必與作業系統所顯示的版本一致，容易成為企業網絡安全管理的盲點。機構除了檢查網站伺服器，更應立即全面盤點所有可能使用PHP的產品、服務及對外系統，並主動向供應商確認受影響範圍及修補安排。
今次事件亦反映人工智能（AI）正加快網絡安全的攻防速度。根據公開資料，相關PHP漏洞早於2026年8月已由安全研究人員運用AI技術發現，並通報PHP團隊進行修補。隨着漏洞資料公布，多家網絡安全機構亦偵測到針對相關PHP漏洞的大規模掃描及攻擊行為。
AI工具正降低漏洞分析及概念驗證程式碼（Proof of Concept，PoC）開發的技術門檻。當漏洞技術細節公開後，攻擊者亦可能更迅速開發攻擊工具，令由漏洞披露、掃描至嘗試利用的應變時間進一步縮短。企業過往待安全更新發布後才逐步安排修補的做法，將面臨更大風險。
PHP 廣泛應用 企業需留意隱藏於設備及系統的風險
PHP 是全球廣泛使用的伺服器端程式語言，支援大量網站，包括使用WordPress、Joomla及Drupal等內容管理系統（CMS）的網站。根據公開資料，PHP的應用覆蓋全球超過75%的網站。根據 VirusTotal 估算，全球有超過 510 萬部 PHP 主機連接互聯網，當中約 380 萬部開放至少一個連接埠，令相關漏洞成為攻擊者的主要目標。
HKCERT提醒企業，盤點範圍不能只停留於「網站用了甚麼版本的PHP」。部分網絡設備、保安產品、儲存設備、監控平台及其他企業應用系統，可能在管理介面或內部元件使用PHP。相關元件如沒有納入日常軟件資產及漏洞管理清單，即使主要伺服器已完成更新，亦可能遺留安全風險。
HKCERT籲企業立即採取五項應對措施
- 全面盤點PHP資產：機構應盤點組織內所有運行 PHP 的系統，尤其是面向互聯網的伺服器。
- 立即安裝安全更新：將 PHP 升級至已修補版本，包括 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35；
- 部分 Linux 發行版（如 Ubuntu、SUSE 等）已推出相關安全更新。以 Ubuntu／Debian 系統為例，只需執行： sudo apt update && sudo apt upgrade
- 更新後，請重新啟動相關服務（例如 Apache）： sudo systemctl restart apache2
- 亦可重新啟動系統，確保修補程式生效： sudo reboot
- 更新完後可以使用以下指令，與官方版本核對是否已成功更新
- apt list ‘?installed ?name(^php[0-9.]+$)’
- 官方版本：https://ubuntu.com/security/notices/USN-8948-1
- 詳情請參閱各 Linux 發行版供應商發布的安全公告及更新指引。
- 主動聯絡設備及軟件供應商：PHP 8.1 或更舊版本已不再獲 PHP 官方支援，用戶應盡快升級至受支援版本，或向所屬發行版或長期支援（LTS）供應商查詢修補程式；
- 未能即時修補應降低對外曝露: 如未能立即安裝修補程式，應考慮暫時將受影響系統下線，或與公共網絡隔離，以降低遭受攻擊的風險；
- 檢查有否異常或入侵跡象: 檢查系統紀錄及網絡流量，留意異常請求、未經授權的程式碼執行或其他可疑活動。
HKCERT呼籲各機構，應盡快就上述軟件，盤點機構內受影響的對外系統，優先修補可經互聯網存取的服務，並檢查系統有否遭入侵。如發現可疑活動，應立即隔離受影響系統、保留相關紀錄，並展開事故應變工作。
更多詳情【按此登入】瀏覽PHP多個漏洞：
更多網絡安全內容：Cloudflare 數據：超大規模DDoS攻擊激增逾500% 傳媒業首當其衝
免責聲明：本網頁刊載的所有投資技巧及分析，僅供參考用途。讀者作出任何投資決定前，要自行判斷及審慎處理，更要自行掌握市場最新變化。若不幸招致任何損失，概與本網頁及相關作者與受訪者無關，本網頁概不負責 。而本網頁所有專欄作者的觀點，不代表本媒體立場。