php2shell 補丁窗口只剩四天：PHP 這次修的不只是兩個 CVE，是託管產業的應急帳

2026年10月21日，PHP 官方發布 8.2.35、8.3.36、8.4.27、8.5.12 四個安全版本，修復兩個編號為 CVE-2026-109618 與 CVE-2026-109619 的漏洞，CVSS 4.0 評分均為 9.2。漏洞不需要帳號、不需要工作階段，也不要求目標站點存在任何有缺陷的應用程式碼。據掘金上 BX760 於 10 月 22 日發布的技術長文整理，攻擊量在官方公告後 45 分鐘內達到數萬次，兩小時內升至數十萬次，其後累計到數百萬次，數字出自 Cloudflare 執行長的公開說明。

時間軸：洩露把補丁窗口壓到多短

把可核實的公開時間點排開，這場事件的異常之處在於修補窗口被提前壓縮。依該文整理：2026年8月11日，Calif（Ryan）與 OpenAI 各自獨立通報了 OOM 到遠端代碼執行的攻擊鏈，其後 Wiz 補充了新的攻擊向量。10月17日，亞馬遜 MadPot 蜜罐記錄到第一次利用嘗試，比官方披露早四天，來源是商用匿名化出口 IP。10月20日，php.net 掛出四行字的預告公告，同日 CVE 編號與 session.upload_progress 等碎片已在社羣媒體與 Hacker News 擴散。10月21日凌晨兩點左右，最早的公開概念驗證程式出現，比官方設定的細節禁令解除時間早約十二小時。

對照歷史節奏，一般高風險漏洞從官方修補到大規模掃描通常以週計。這次從預告公告到首個 PoC 落地不到兩天，從蜜罐首擊到官方修補只有四天。補丁窗口縮短的直接後果，是所有依賴 PHP 的服務營運方必須在同一個周末內完成盤點、升級與重啟，人力與停機成本集中爆發。

根因：longjmp 跳過了該做的清理

技術層面，兩個漏洞指向同一類結構問題。PHP 核心以 C 實作，遇到致命錯誤時透過 longjmp 跳出執行流程，這個動作跳過了 C 堆疊的正常展開，也就是跳過了資源釋放。CVE-2026-109618 的場景是「先記帳、後分配」：記憶體帳本已更新、實際分配失敗時，狀態不一致導致記憶體破壞。CVE-2026-109619 則是跨請求殘留的全域狀態，在 worker 行程被複用時把上一個請求的殘骸帶進下一個請求。

這解釋了為什麼攻擊面這麼大：漏洞位於核心而非任何一套 CMS 或框架，所有跑在受影響版本上的站點，無論應用程式碼品質如何，都暴露在風險中。

誰承壓：worker 複用是放大器，影響分兩層

影響傳導的第一層取決於 SAPI 與配置。該文指出，worker 行程複用是主要放大器，採用 prefork 模式長時間覆用的部署，比每請求新建行程的 CGI 模式更容易觸發跨請求的狀態殘留。memory_limit 與 post_max_size 的比值也影響可達性。這意味著承壓最重的是共享主機與傳統 LAMP 架構的大量長尾站點，它們普遍缺少自動化升級流程。

第二層是機構級應急成本。依該文時間軸，10月21日白天，英國 NCSC 發布警報，荷蘭 NCSC 及鹿特丹港、Overheid.nl、KNVB、多家醫院與若幹政黨網站臨時下線，芬蘭關閉部分政府公共服務，英國預算責任辦公室網站也下線。10月22日，新加坡 CSA 發布公告，韓國科技部將國家網路警報上調，CNVD、工信部 NVDB、騰訊雲、阿裏雲、奇安信相繼發布通告。這些下線與公告是防禦性成本，由政府與大型機構直接支付。

受惠側相對明確：CDN 與 WAF 廠商因流量資料而成為事件的第一手觀測點，雲端供應商的安全通告與託管升級服務在這類事件中需求上升。但該文同時提醒，上了 WAF 或改了組態並不等於修好，這一點值得保留為其說法而非定論。

謠言帳：四個流傳結論的修正

該文逐一反駁了網路流傳的復現結論，其中兩項與成本判斷直接相關。其一，根因並非 session.upload_progress 的 zval UAF，這個說法把修補範圍導向錯誤的配置項。其二，升級完核心不等於結案：必須重啟 worker 行程才生效，未重啟的實例仍跑舊碼。其餘兩項澄清涉及 CVSS 評分實為 9.2 而非流傳的 10.0，以及影響範圍不是只限 PHP 8，官方也為 7.4、8.0、8.1 提供了最小源碼 backport。

「重啟才生效」這一條在營運帳上最貴。升級套件可以批次派送，重啟卻涉及連線中斷，對無法停機的服務等於二次協調成本。

收束：影子資產是這場事件真正的遺留帳

該文提出的長期啟示中，影子 PHP 資產清單最接近成本結構的本質。企業內部存在大量未被資產清冊覆蓋的 PHP 實例，舊版維護主機、內部工具、委外系統，平時不產生任何帳面成本，直到這類事件才以應急人力與停機的形式一次性結算。補丁窗口縮短至以天計之後，這些資產的隱含負債會更頻繁地被點名。官方維護的版本分支數量有限，7.4 等舊分支僅獲源碼級 backport，自行編譯維護的隱性成本，將是長尾站點下一步要算的帳。