PHP2Shell：PHP 兩項未經認證遠端程式碼執行漏洞（CVSS 9.2），數發部估臺灣約 2.8 萬個網站受影響

漏洞內容

TWCERT/CC 通報指出，兩項漏洞皆可導致未經認證的， v4.0 基礎分數各為 9.2；廠商認為 Apache mod_php 風險最高 ^[1]。修補版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35；8.1 及更早版本不再有官方更新，僅有針對 7.4、8.0、8.1 的精簡原始碼修補 ^[1]。

利用狀況

CERT-EU 指出已有初步 PoC 流傳；Amazon 威脅情報團隊表示 10 月 17 日即在蜜罐偵測到利用活動，早於漏洞公開 4 天 ^[1][2]。美國 CISA 已將兩漏洞加入 清單 ^[2]。

臺灣影響

資安署 10 月 22 日表示已啟動應變，要求政府與企業優先更新，無法立即修補者採 WAF 等、必要時暫停網站服務；數發部盤點約 2.8 萬個使用 PHP 的對外網站，約 200 個為政府機關 ^[2]。10 月 29 日資安署另針對外界指稱部分防火牆與網通設備可能受 PHP2Shell 影響，呼籲各機關檢視管理介面是否暴露於網際網路並儘速修補 ^[3]。