數字政策辦公室（數字辦）於 2026 年 10 月 22 日發出保安警報，高度關注廣泛應用於全球網站後端的 PHP 程式語言所存有的嚴重安全漏洞，合稱「PHP2Shell」。該漏洞涉及兩個關鍵 CVE 編號（CVE-2026-109618 及 CVE-2026-109619），遠端攻擊者可利用這些漏洞在目標系統觸發遠端執行任意程式碼（RCE）。數字辦已向所有政府決策局、部門及公營機構發出指令，要求即時全面檢視資訊系統有否受影響，並必須盡快完成系統修補工作，否則相關系統須暫時離線或隔離，以降低被惡意入侵的風險。
哪些 PHP 版本受影響？
受影響的是 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35 之前的版本，PHP 8.1 或更舊版本已不再獲得官方更新。根據香港網絡安全事故協調中心（HKCERT）發布的保安公告，PHP 安全團隊緊急發布了針對這兩個漏洞的安全更新。CVE-2026-109618 涉及 PHP 使用 longjmp() 函數處理記憶體不足（OOM）錯誤時，某些上下文無法正確處理導致記憶體處於未初始化狀態，進而引發遠端程式碼執行。CVE-2026-109619 則源於 PHP 存在多個全域狀態暫時指向請求記憶體，若全域狀態無法正確重置或釋放後仍引用請求記憶體，後續請求可能基於過期狀態進行分支，同樣導致 RCE 風險。
受影響的版本包括 PHP 8.5.12 之前、8.4.27 之前、8.3.36 之前及 8.2.35 之前的所有版本。供應商已提供修補程式，分別為 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35。PHP 8.1 或更舊版本已不再獲得 PHP 專案提供的更新，部分發行版和長期支援（LTS）供應商提供向後移植的修復程序，機構需聯絡供應商了解詳情或升級到支援的版本。若無法立即更新，應參閱緩解措施，例如將面向互聯網的應用程式與公共網絡隔離，直至安全修補程式已套用並完成驗證。
對香港企業有何影響？
風險不限於網站伺服器：企業的應用程式、網絡及保安設備、儲存及監控系統的管理後台，都可能內嵌 PHP。不少企業日常使用的應用程式、網絡及保安設備、儲存及監控系統等，其管理後台或運作元件亦可能內嵌 PHP，而相關 PHP 版本未必與作業系統所顯示的版本一致，容易成為企業網絡安全管理的盲點。HKCERT 特別提醒，機構除了檢查網站伺服器，更應立即全面盤點所有可能使用 PHP 的產品、服務及對外系統，並主動向供應商確認受影響範圍及修補安排。
PHP 是全球廣泛使用的伺服器端程式語言，支援大量網站，包括使用 WordPress、Joomla 及 Drupal 等內容管理系統（CMS）的網站。根據公開數據，PHP 的應用覆蓋全球超過 75% 的網站。根據 VirusTotal 估算，全球有超過 510 萬部 PHP 主機連接互聯網，當中約 380 萬部開放至少一個連接埠，令相關漏洞成為攻擊者的主要目標。本站早前報道過 PHP2Shell：AI 一周找出十年舊洞 七成網站急補 政府索性關站，同類議題顯示漏洞利用速度極快，企業須提高警覺。
AI 加速攻防：應變時間窗口縮短
今次事件亦反映人工智能（AI）正加快網絡安全的攻防速度。根據公開數據，相關 PHP 漏洞早於 2026 年 8 月已由安全研究人員運用 AI 技術發現，並通報 PHP 團隊進行修補。隨着漏洞數據公布，多家網絡安全機構亦偵測到針對相關 PHP 漏洞的大規模掃描及攻擊行為。AI 工具正降低漏洞分析及概念驗證程式碼（Proof of Concept，PoC）開發的技術門檻。當漏洞技術細節公開後，攻擊者亦可能更迅速開發攻擊工具，令由漏洞披露、掃描至嘗試利用的應變時間進一步縮短。
Sophos Counter Threat Unit 威脅情報副總裁 Don Smith表示：「當前挑戰不單止是安裝修補程式，而是要識別並妥善管理所有正在運行 PHP 環境。PHP 應用廣泛，涵蓋公眾網站、內容管理系統、網站寄存平台及第三方產品的底層技術，有時就算機構正在使用相關系統，也未必能察覺。」
舊有系統及專用設備仍在運行存在漏洞的PHP 版本，卻未必能夠直接更新或更換。專用設備可能猶如處於『黑盒』環境中運作，網絡安全團隊難以得知修補狀況及軟件版本，機構亦往往需要依賴供應商提供更新版本。因此，額外的防護措施成為降低暴露風險的關鍵措施。
企業過往待安全更新發布後才逐步安排修補的做法，將面臨更大風險。本站曾報道 日本十月網攻潮：雲端服務商被勒索 495 客戶連鎖停擺 AI 網絡攻擊的啟示，同類議題指出 AI 在網絡攻擊中的應用正變得普遍，企業需建立更敏捷的漏洞回應機制。數字辦已為託管所有政府決策局／部門主頁的網站寄存服務完成所需的系統修補工作，截至目前為止，數字辦並沒有接獲任何相關網絡保安事故報告。
企業應如何即時應對？
- 立即盤點資產：全面檢查所有可能使用 PHP 的產品、服務及對外系統，包括管理後台及運作元件，確認受影響範圍。
- 優先修補關鍵系統：為所有受影響的資產套用修補程式，優先處理面向互聯網的應用程式。若無法即時修補，應考慮將相關應用程式與公共網絡隔離。
- 聯絡供應商：主動向供應商確認受影響範圍及修補安排，特別是使用 PHP 8.1 或更舊版本的系統，需了解向後移植修復程序或升級方案。
- 尋求專業協助：如有需要，可經電郵（hkcert@hkcert.org）、電話（8105 6060）或網上表格向香港網絡安全事故協調中心尋求協助。HKCERT 已發布「保安公告」及公報，提供詳細的技術指引與緩解措施。
數字辦呼籲公眾及機構立即為所有受影響的系統安裝修補程式，以保障資訊系統安全。企業應將此次事件視為提升網絡安全韌性的契機，建立更完善的漏洞管理與應變機制，以應對日益複雜的網絡威脅環境。