Tenable將PHP2Shell列為重點關注漏洞　PHP 5.4至今皆受影響

資安業者 Tenable 針對 PHP2Shell 漏洞（CVE-2026-109618、CVE-2026-109619）發布常見問題整理，並將其列為「Vulnerability Watch」機制下的重點關注漏洞（Vulnerability of Concern）。

Tenable 整理指出，研究團隊的分析顯示受影響的程式碼路徑最早可追溯到 PHP 5.4.0；PHP 官方表示，所有提供網頁請求服務的 PHP 環境都有風險，包括 PHP-FPM、Apache 搭配 mod_php、php-cgi、FrankenPHP 與 LiteSpeed，其中 mod_php 風險最高。PHP 7.4 至 8.1 沒有官方發行版，只有原始碼修補；5.4 至 7.3 則已停止支援、沒有修補。

Tenable 也回顧 PHP 過去的重大漏洞：美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞清單中，收錄了2024年的 PHP-CGI 漏洞 CVE-2024-4577、2019年的 PHP-FPM 漏洞 CVE-2019-11043，以及2012年的 CVE-2012-1823，前兩者都曾被勒索軟體利用。截至10月21日的清單版本，這次的兩個新漏洞尚未列入。

工具方面，Tenable 已推出對應 PHP 8.2 至 8.5 的網頁應用程式掃描外掛，以及 PHP 版本偵測、不受支援版本偵測等外掛，協助企業找出環境中的 PHP 安裝。Tenable 同樣強調，PHP 官方表示升級是唯一完整的解法，設定調整只能降低風險。

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• Tenable：php2shell FAQ
• CISA 已遭利用漏洞清單（KEV）

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。