親愛的 LuckVM 客戶您好：
針對先前預警之 PHP 核心遠端程式碼執行（RCE）重大資安漏洞（編號：CVE-2026-109618 與 CVE-2026-109619，統稱 PHP2Shell，嚴重性評分 CVSS v4.0 9.2），PHP 官方開發團隊與主要 Linux 發行版現已正式釋出安全修補程式。
根據國際資安機構（含新加坡資安局 CSA 及 AWS 威脅情報團隊）最新監測顯示，網路上已出現公開的概念驗證攻擊程式（PoC）與大規模自動化掃描行為。LuckVM 全球 40+ 資料中心（含台灣、香港、日本、新加坡、韓國及歐美節點）已完成系統映像檔與套件庫同步。我們強烈建議所有運行 PHP 環境之雲端主機（VPS）與專屬實體伺服器客戶，立即安排套用本次安全更新。
一、 漏洞摘要與高風險環境確認
-
漏洞編號與評級： CVE-2026-109618（GHSA-w8hw-w9fx-j79w）、CVE-2026-109619（GHSA-6wmf-4rv5-p3rp），皆為 CVSS v4.0 9.2（Critical 嚴重等級）。
-
受影響版本： PHP 5.4 至 PHP 8.5.11 之所有版本。
-
高風險部署架構： 資安研究團隊已證實此漏洞可成功攻擊 WordPress（含 WooCommerce 電商）、Drupal、Joomla 等主流平台。特別提醒：採用 Apache 搭配
mod_php模組運行的伺服器風險最高，因為惡意攻擊可在網站應用程式碼執行前直接於底層觸發，進而讓未經授權之攻擊者植入後門、竄改或竊取企業敏感資料。
二、 漏洞發生原因（Zend 核心引擎記憶體管理缺陷）
根據官方與資安機構公開之技術報告，兩項漏洞皆位於 PHP 底層 Zend 引擎（Zend Engine） 的記憶體管理員（Zend MM）與雜湊表（HashTable）錯誤處理機制中：
-
CVE-2026-109618（因記憶體耗盡 OOM 觸發之 RCE）： 當惡意請求觸發記憶體超限（Out-of-Memory）時，PHP 會透過
_zend_bailout()執行longjmp()強制中斷並跳出當前呼叫堆疊，導致內部請求資料僅完成部分初始化便殘留未清理的堆積（Heap）資料。隨後的請求清理程序會誤將該無效資料視為有效位址進行讀取與分支跳轉，進而達成遠端程式碼執行。 -
CVE-2026-109619（因釋放後重用 Use-After-Free 觸發之 RCE）： 當發生致命錯誤觸發
longjmp()異常終止時，部分模組層級的全域狀態（Global State）未能正確重置，仍持續指向已被釋放的請求記憶體區段。當同一個 PHP 工作程序（Worker Process）接手處理後續請求時，會在正常初始化前讀取並使用該已釋放之過期狀態（Use-After-Free），導致遠端程式碼執行。
三、 官方已釋出之安全修補版本
將 PHP 升級至已修補版本是唯一能徹底根除此漏洞的方法。請確認您的環境已升級至以下（或更新）版本：
-
PHP 8.5 系列： 請更新至 PHP
8.5.12[cite: 4, 5]
-
PHP 8.4 系列： 請更新至 PHP
8.4.27[cite: 4, 5]
-
PHP 8.3 系列： 請更新至 PHP
8.3.36[cite: 4, 5]
-
PHP 8.2 系列： 請更新至 PHP
8.2.35[cite: 4, 5]
-
PHP 8.1 及更舊版本（含 PHP 8.0 / 7.x / 5.x）： PHP 官方專案已終止對 8.1 及更早版本的支援（EOL），不會釋出官方原始碼修補程式。惟 Ubuntu、Debian 及 Alpine Linux (3.24) 等作業系統發行商已針對其官方套件庫釋出向後移植（Backported）之安全更新，請使用發行版套件的使用者立即執行系統更新，或規劃遷移至 PHP 8.2 / 8.3。
四、 LuckVM 平台應變狀態與客戶維運升級步驟
1. 建立主控台快照備份（Snapshot） 在套用更新前，請先登入 LuckVM 會員主控台 為您的雲端主機建立最新 快照備份，並確認資料庫備份完整，以便在舊版網站外掛發生相容性問題時可即時還原。
2. 立即更新主機與重建容器映像檔
-
一般雲端主機與實體伺服器： 請透過套件管理工具（如
apt update && apt upgrade或dnf update）將 PHP 更新至8.2.35、8.3.36、8.4.27或8.5.12，更新後務必重啟php-fpm與Nginx/Apache服務。 -
Docker 與 Kubernetes 容器化環境： 請注意，僅更新宿主機（Host）並不會更新容器內部的 PHP 執行環境。您必須拉取包含上述修補版本的最新 PHP 基礎映像檔（Base Image），重新建置（Rebuild）並重新部署所有相關容器。
3. 過渡期風險緩解設定（針對需等待維護視窗之系統） 若貴公司系統因內部變更管理流程無法於今日立即重啟升級，請先參照 PHP 官方與資安大廠（F5、Google Cloud、Fortinet）建議採取以下暫時緩解控制（注意：此措施僅能降低特定攻擊路徑曝險，無法取代升級修補）：
-
嚴格限制 POST 請求大小： 為防止攻擊者透過超大型請求觸發 OOM 記憶體溢位，PHP 官方建議將後端
post_max_size調降至保守值——無須檔案上傳功能之系統建議設為8M；需檔案上傳之系統建議設為32M，並於 Nginx/Apache 或 WAF 層同步限制最大 Request Body 長度。 -
封鎖非必要之 Multipart 請求： 若應用程式無須接收表單檔案上傳，請於網頁伺服器或 WAF 防火牆設定阻擋
Content-Type: multipart/form-data請求，並限制單一請求之最大參數數量與標頭（Header）複雜度。
4. 資安事件清查與主機隔離 請檢視修補前的網站存取日誌（Access Logs）是否有異常大型 POST 請求、非預期的 PHP 背景程序呼叫或不明檔案變動；若懷疑主機已遭入侵，請先將主機隔離並完成資安鑑識後再重新上線。
如貴公司在執行快照備份、版本遷移或建立隔離測試主機（台灣/香港 70GB NVMe 雲端主機 $8.80/月起，秒級開通）時需要任何協助，請隨時透過 LuckVM 支援中心提交技術支援服務單，我們的工程團隊將全天候為您提供支援。
LuckVM 資安與基礎架構維運團隊 敬上
