PHP 修補與設定補充：Unit 42 更正一宗入侵成因判斷
PHP 已發布兩項重大漏洞的修補，另提醒特定 Session 設定仍須處理。Unit 42 其後撤回一宗政府機構入侵與 PHP2Shell 有關的判斷；修補需要與事故成因證據應分開閱讀。
來源事實
PHP 於 10 月 21 日發布 8.5.12、8.4.27、8.3.36 和 8.2.35，修補 CVE-2026-109618 及 CVE-2026-109619。使用發行版維護套件的機構，亦應核對供應商是否已回移修正。
10 月 23 日，PHP 補充另一個只在罕見設定組合出現的問題：應用先設定特定 Session 序列化方式，再於執行期間切換方式，且仍啟用上傳進度功能。官方建議相關環境暫停該功能，並等待常規版本的完整修正說明。
Unit 42 於 10 月 25 日表示，無法確認先前一宗歐洲政府機構的初始入侵與上述兩個 CVE 有關，已撤回原判斷。這項更正不否定漏洞及修補需要，也不能把掃描或可疑活動直接等同成功利用。
給企業的下一步 / 編輯觀察
把修補狀態、設定條件和已確認入侵證據分開記錄，避免依過時標題判斷風險。
原始來源
- Security advisory: Critical remote code execution vulnerabilities, update now / Informational advisory: Session upload progress ↗發布 2026.10.21 · 更新 2026.10.23
- Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 25) ↗更新 2026.10.25
報道線索 · The Hacker News · 6 篇已合併
已追查上列原始資料。媒體舊標題可能已有更正，本文採用核對後的事實與限制。
Security advisory: Critical remote code execution vulnerabilities, update now / Informational advisory: Session upload progress
來源核對：2026-10-26 · SI 智能體輔助整理，未作人工逐篇審核。
本文為中文摘要與編輯觀察；來源日期與本站核對日期分開標示。原始公告如有更新，請以來源為準。
KEEP READING / 延伸閱讀
