PHP 爆發 CVSS 9.2 重大漏洞！網站來不及更新，CDN WAF 能提供哪些防護？

這次 PHP 漏洞有多嚴重？

兩個漏洞都被評為 CVSS v4.0 9.2 分（滿分 10），屬於「重大」等級，而且影響所有對外提供網頁服務的 PHP 環境。

資料來源：Google Cloud、Huntress、Help Net Security

簡單說，兩個漏洞都和 PHP 處理記憶體的方式有關：CVE-2026-109618 是記憶體不足（OOM）時，PHP 中斷處理留下未初始化完成的資料；CVE-2026-109619 是已釋放的記憶體狀態，被同一個 worker 的下一個請求誤用。攻擊者只要送出特製的 HTTP 請求，就可能觸發。

影響有多廣？Palo Alto Networks 的 Unit 42 估計，全球約有 2,260 萬個對外暴露、可能受影響的 PHP 實例。資安公司 Sansec 也已在 Magento 等 11 套 PHP 應用程式上驗證可遠端執行程式碼，WordPress、Drupal、Laravel 等 PHP 架構的網站同樣在範圍內。

值得一提的是，發現漏洞的 Wiz 研究團隊表示，這些缺陷其實存在了很多年，是 AI 模型大幅降低了寫出攻擊程式的門檻。這也代表未來從漏洞公開到出現攻擊的時間，只會越來越短。

PHP 7.4、8.1 舊網站為什麼風險最高？

因為 PHP 官方這次只修補 8.2 以上版本，7.4、8.0、8.1 不會有修補檔，唯一的解法是跨版本升級到 8.2 以上。

台灣仍有不少企業官網、形象網站使用 PHP 7.4 或 8.1，尤其是早年委託網頁設計公司架設、之後很少維護的網站。這類網站的問題是：升級 PHP 大版本後，舊程式碼、舊外掛、舊購物車模組可能直接報錯，表單、登入、結帳功能也可能失效，必須由工程師逐一修正、測試，短時間內很難完成。

另外，英國國家網路安全中心（NCSC）也提醒，不要只盤點舊版 PHP。這次所有版本都可能受影響，就算是 8.3、8.4 的網站，只要還沒更新到修補版本，一樣有風險。

網站架在虛擬主機，誰負責更新 PHP？

PHP 漏洞在伺服器的執行環境，不是網站程式碼本身，所以只改網站程式無法修補，需要有主機管理權限的人處理。

如果網站架在共用虛擬主機上，第一步通常是聯絡主機商，確認是否已提供修補後的 PHP 版本；舊版網站則需要開發團隊同步評估相容性。

CDN、WAF、PHP 更新，各自能做什麼？

只有更新 PHP 能真正修好漏洞；CDN 和 WAF 是在修好之前，擋在網站前面的緊急防護層。

很多人以為「有 CDN 就有資安防護」，但 CDN 的主要任務是加速，抗 DDoS 則是應付流量攻擊。這次的 RCE 漏洞不需要大量流量，攻擊者可能只用一個精心構造的請求就能入侵，必須靠會檢查請求內容的 WAF 才有機會攔下。

網站來不及更新，WAF 能提供哪些防護？

WAF 能在 PHP 升級完成前提供四種緊急防護，其中「請求大小與格式限制」和這次漏洞的觸發方式最直接相關。

資安公司 runZero 整理的官方緩解建議中，就包含在網頁伺服器或代理層限制請求大小、multipart 分段、標頭與巢狀層數。CDN 加 WAF 正好位在這個「代理層」，不需要動到來源主機，就能先把這道限制加上去。

WAF 防護的三個限制

1. WAF 不能取代更新 PHP：WAF 只能降低風險，攻擊手法一旦變形，規則可能被繞過。網站最終仍須升級。

2. WAF 的檢查長度有上限：多數 WAF 基於效能只檢查請求的前一段內容，攻擊者可能用大量填充資料把惡意內容推到檢查範圍之外。研究人員已多次示範這種繞過手法，所以 WAF 必須直接拒絕超過檢查上限的請求，而不是放行。

3. 攻擊者可能繞過 CDN 直連主機：如果來源主機的 IP 外洩，攻擊者可以直接連線，完全不經過 WAF。來源主機應設定只接受 CDN 節點的流量。

企業網站該怎麼應對？建議處理順序

先盤點、再升級，升級期間用 WAF 擋在前面；無法控制風險的網站，應考慮暫時下線。

1. 盤點所有 PHP 網站。列出每個網站的 PHP 版本、主機商、維護廠商，優先處理對外開放的網站。

2. 聯絡主機商確認修補狀態。詢問是否已提供 8.2.35、8.3.36、8.4.27 或 8.5.12 等修補版本。

3. 啟用 WAF 緊急防護。在升級完成前，開啟請求大小限制、虛擬修補規則，並封鎖不必要的後台與上傳路徑。

4. 鎖住來源主機。設定來源主機只接受 CDN／WAF 節點的連線，避免攻擊者繞道直連。

5. 備份並在測試環境升級。先備份網站與資料庫，在測試環境切換新版 PHP，確認表單、登入、結帳等功能正常。

6. 正式升級並持續監控。上線後持續觀察錯誤紀錄與 WAF 阻擋紀錄，確認沒有異常存取。

對替多家客戶維護網站的網頁設計公司來說，第 3、4 步特別重要。

幾十個舊網站不可能同時完成升級，先讓每個網站都有 WAF 擋在前面，才能爭取時間逐一處理相容性問題。

騰雲運算 SkyEdge CDN + SkyWAF：在升級前先替網站擋一層

要徹底解決這次漏洞，還是得升級：主機端的 PHP 要更新到修補版本，網站後端程式也要跟著調整到相容新版 PHP。但升級需要時間，在完成之前，騰雲運算的 SkyEdge CDN 搭配 SkyWAF，可以在不更動來源主機的情況下，先替網站擋下一層攻擊。

騰雲運算針對 PHP2Shell 的防護措施

• 騰雲運算平台本身不受影響：騰雲運算 CDN 系統未使用 PHP，本次漏洞不影響平台服務。

• 緊急規則配置：有立即防護需求的客戶，技術團隊可直接在客戶專屬節點配置緊急規則，阻擋 PHP2Shell 公開攻擊驗證程式（PoC）所利用的 PHP session.upload_progress（上傳進度追蹤）上傳欄位。

• 平台全面整合防禦規則：下一波平台版本更新將全面整合對應的防禦規則，沒有立即需求的客戶可等待正式版本上線。

• 源站仍須升級：規則防護只是緩解措施，根本解決仍須盡快將源站 PHP 升級到官方最新修補版本。

SkyEdge CDN + SkyWAF 的日常防護

• 過濾惡意請求：WAF 在請求抵達主機前檢查內容，依規則阻擋常見攻擊特徵與異常請求。

• 限制不必要的入口：可針對管理後台、上傳路徑等設定存取限制，縮小可被攻擊的範圍。

• 隱藏來源主機：網站流量經由 CDN 節點轉送，降低來源主機 IP 直接暴露的機會。

• 在地技術支援：已服務 400 多家金融、政府、醫療與企業客戶，具 ISO 27001／27701 認證與共同供應契約資格。

這些防護不是升級完就用不到。網站每年都會遇到新的漏洞、自動化掃描與常見的網頁攻擊，升級後繼續保留 CDN 與 WAF，下次再有漏洞公開時，網站前面已經有一道防線，不必再臨時應變。

需要說明的是，騰雲運算提供的是網站前端的流量防護，無法代為檢查或修改主機上的 PHP 版本與網站程式；PHP 升級仍需由主機商與網站開發團隊處理。

已是騰雲運算客戶、需要即時防護，請直接聯繫您的業務或技術窗口；尚未使用騰雲運算服務的網站，無論正在排程升級 PHP，或希望升級後也有長期防護，都歡迎聯繫我們，了解 SkyEdge CDN 與 SkyWAF 的防護方案。

常見問題 FAQ

資料來源

• Google Cloud：Responding to core PHP vulnerabilities

• Huntress：php2shell Rapid Response

• Help Net Security：PHP2Shell patched

• Unit 42 Threat Brief

• Sansec：PHP2Shell

• runZero：Critical RCE vulnerability in PHP

• UK NCSC：Critical security issue affecting PHP

• Black Hills InfoSec：Bypassing WAFs Using Oversized Requests