很多網站背後其實都是靠一種叫 PHP 的程式語言在運作。 它不是你在瀏覽器裡看到的那些畫面 PHP 是跑在伺服器上的後端程式 當你打開一個網站、登入帳號、 … · @indesjyo · TwKit

@indesjyo

很多網站背後其實都是靠一種叫 PHP 的程式語言在運作。 它不是你在瀏覽器裡看到的那些畫面 PHP 是跑在伺服器上的後端程式 當你打開一個網站、登入帳號、 送出表單或搜尋東西時 PHP 會在伺服器端處理這些請求 再把結果組裝成你看到的網頁 全球很大一部分網站 包括很多 WordPress 站、電商平台、 論壇和公司內部系統 都是這樣跑起來的 最近 PHP 本身出現了兩個非常嚴重的漏洞 被通稱為 PHP2Shell （CVE-2026-109618 和 CVE-2026-109619） 算是相當嚴重的情況 問題出在 PHP 核心的記憶體處理和請求清理機制上 而不是某個特定的網站程式或外掛 攻擊者不需要登入 只要對伺服器發送特定的請求 就有機會在伺服器上執行任意程式碼！ 甚至在某些環境 尤其是 Apache 搭配 mod_php 的情況 在你的應用程式碼開始執行之前就能觸發 這代表即使你的網站程式寫得再小心 有再多輸入檢查 也可能擋不住 因為漏洞發生在更底層的地方 這兩個漏洞一個是在記憶體不足時 中斷處理導致狀態錯亂 另一個則是前一個請求留下的狀態 被後續請求誤用 因為它們存在於 PHP 核心 影響範圍涵蓋幾乎所有還在提供網頁服務的 PHP 環境 從 PHP 5 以來的版本都受影響 官方已經在 10 月 21 日發布修補版本 對應的是 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 較舊的版本因為已經停止官方支援 只能依賴部分發行版或自行編譯的 backport 這件事之所以特別受關注 是因為 PHP 仍是網路上非常常見的後端語言 而漏洞又允許未經驗證的遠端程式碼執行 相關細節在修補前就已外洩 部分安全廠商也觀察到實際的攻擊嘗試 對一般使用者來說 如果你自己管理網站或伺服器 現在最重要的就是確認目前使用的 PHP 版本並盡快更新 更新後也要重啟 PHP 相關的服務或 worker 對大多數只是在瀏覽網站的人來說 這主要是提醒背後那一大片 仍在使用 PHP 的網站 正需要盡快完成修補 否則風險會持續存在

曝光 374 · 评论 0 · 点赞 4 · 书签 2