親愛的 LuckVM 客戶您好：
PHP 官方資安團隊與國際電腦網路危機處理中心（如 CERT-EU）於近日發布緊急資安預警，指出 PHP 核心執行環境中存在兩項極高風險的安全性漏洞（編號：CVE-2026-109618 與 CVE-2026-109619，資安研究機構統稱為 php2shell），官方嚴重性評分高達 CVSS v4.0 9.2（Critical 嚴重等級）。
由於相關漏洞資訊與攻擊工具截圖已於修補程式釋出前外流，預期官方釋出更新後將立即引發全球大規模自動化掃描與攻擊。為確保您在 LuckVM 部署的台灣、香港及全球節點雲端主機（VPS）與專屬實體伺服器維持最高資安標準，LuckVM 維運團隊特此發布完整漏洞說明與應變計畫。
一、 漏洞內容與受影響範圍
-
漏洞識別碼： CVE-2026-109618、CVE-2026-109619（別名：
php2shell） -
漏洞性質： 未經身分驗證之遠端程式碼執行（Unauthenticated Remote Code Execution, RCE）
-
潛在衝擊： 遠端攻擊者無須取得網站管理員帳號密碼，即可透過特製請求觸發漏洞，進而操控伺服器上的 PHP 背景程序（如
php-fpm、php-cgi、httpd或apache2）直接執行任意系統指令（例如喚起sh、bash、powershell.exe或透過curl、wget植入後門與挖礦木馬），導致企業資料庫外洩或整台伺服器遭駭客接管。 -
受影響環境： 自 PHP 5.4.0 起的所有版本（包含 PHP 5.x、7.x 及 8.x） 皆在受影響範圍內。凡採用 WordPress、WooCommerce、Magento、Shopware、Laravel、Drupal、Joomla 架設之電商平台、企業官網、內部 ERP 系統，以及內建 PHP 之伺服器管理面板（如 cPanel、Plesk 等）均受波及。
二、 漏洞發生原因
此兩項漏洞源於 PHP 核心直譯器（PHP Core Interpreter） 底層長期存在的程式邏輯缺陷，而非單一網站套件或外掛程式的漏洞。 由於攻擊載荷會在進入網站應用程式碼之前直接於 PHP 核心層被解析執行，因此僅更新網站外掛、修改網站原始碼，或單純依賴一般網頁應用程式防火牆（WAF）規則，皆無法完整阻擋此類攻擊。唯一徹底的解決方案是在基礎架構層級更新 PHP 執行環境版本。
三、 漏洞嚴重程度與資安態勢（CVSS v4.0 9.2）
本漏洞獲評 CVSS v4.0 9.2 分，屬於最高優先級別的資安威脅：
-
攻擊工具資訊外流，防禦時間窗極為緊迫： 因漏洞資訊提前曝光，PHP 官方已將緊急修補程式釋出時間提前至 台灣/香港時間（GMT+8）2026年10月21日 22:00（14:00 UTC）。資安機構（如 Sansec）警告，修補程式公開後 15 分鐘內 預計將出現大量針對公網伺服器的自動化攻擊測試。
-
終止支援（EOL）之舊版 PHP 將無官方修補程式： PHP 官方僅針對目前仍在維護週期內的 PHP 8.2、8.3、8.4、8.5 分支提供官方更新（預計釋出版本為
8.2.35、8.3.36、8.4.27、8.5.12）。若您的伺服器仍運行已終止支援（End-of-Life）的 PHP 8.1、8.0、7.x 或 5.x，將無法獲得 PHP 官方直接修補。
四、 LuckVM 平台修補計畫與客戶維運應變指南
為保障客戶對伺服器的完整控制權與業務連續性，LuckVM 不會主動重啟或更動客戶運行中的雲端主機與實體伺服器內部環境。我們已啟動以下資安應變機制，並建議貴公司 MIS 與維運團隊立即採取行動：
【第一階段：LuckVM 基礎架構與映像檔更新】
-
作業系統映像檔同步： 台灣/香港時間今晚 22:00（14:00 UTC） 官方釋出修補程式後，LuckVM 將立即同步全球 40+ 資料中心之套件儲存庫，並全面更新平台提供的 Linux（Ubuntu、Debian、Rocky Linux、AlmaLinux、CentOS）與 Windows 預設安裝映像檔。
-
24 小時主控台與救援支援： 平台 VNC 網頁主控台、實體機 IPMI / iDRAC 遠端管理介面及網路流量監控系統均保持全天候運作，隨時協助客戶進行系統維護與緊急救援。
【第二階段：客戶端伺服器修補與防護步驟】
-
步驟一：執行「快照備份（Snapshot）」與異地資料備份 在套用任何系統更新或升級 PHP 版本前，請務必先登入 LuckVM 會員主控台，為您的雲端主機建立最新 快照備份（Snapshot），並確認網站檔案與資料庫備份可正常還原，以防新版 PHP 與舊版網站外掛產生相容性衝突。
-
步驟二：今晚 22:00 修補程式釋出前之暫時緩解措施
-
盤點所有 PHP 資產： 請透過 SSH 執行
php -v或dpkg -l 'php*'檢查主機與 Docker 容器中運行的 PHP 版本。 -
調整設定檔降低曝險： 在正式安裝修補程式前，建議於
php.ini或.user.ini中設定session.upload_progress.enabled = 0並重啟 PHP 服務，以暫時降低潛在攻擊面（請注意：此設定可能會停用網頁檔案上傳進度條，且僅為過渡性措施，無法取代正式修補更新）。
-
-
步驟三：今晚 22:00 後立即套用更新並重啟服務
-
使用 PHP 8.2 / 8.3 / 8.4 之主機： 請於今晚 22:00 後立即透過系統套件管理工具（
apt/dnf/yum）更新至最新修補版本（8.2.35/8.3.36/8.4.27），更新完成後請務必重啟php-fpm及Nginx/Apache網頁伺服器使修補生效（Docker 用戶請重新拉取新版映像檔並部署容器）。 -
使用舊版 PHP（8.1 / 8.0 / 7.x / 5.x）之主機： 強烈建議在測試相容性後盡速升級至受支援的 PHP 8.2 或 8.3 分支；若因企業內部系統限制無法立即升級，請確認您的 Linux 發行版是否提供向後移植（Backported）之安全更新，或暫時將系統置於 VPN 與嚴格防火牆白名單保護之下。
-
-
步驟四：持續監控異常程序與系統負載 請密切檢視伺服器 CPU 負載與系統日誌（Logs），留意
php-fpm是否異常呼叫sh、bash、curl、wget等指令；若發現網站目錄出現不明檔案或異常排程（Cron Jobs），請立即隔離主機並聯繫我們。
若您在規劃維護視窗、建立快照備份或升級環境時需要技術協助，請隨時透過 LuckVM 支援中心提交技術支援服務單，我們的工程團隊將竭誠為您服務。
LuckVM 資安與基礎架構維運團隊 敬上
