数字政策办公室／HKCERT 警示「PHP2Shell」极高风险漏洞：有网站或内嵌 PHP 的中小企业应立即盘点并安装修补

香港数字政策办公室（数字办／DPO）于 2026 年 10 月 22 日表示，高度关注广泛应用于全球网站后端的程序语言 PHP 所存有的严重安全漏洞。数字办已向所有政府决策局／部门及公营机构发出保安警报，要求即时全面检视信息系统有否受影响，并必须尽快完成系统修补；否则相关系统须暂时离线或隔离，以降低被恶意入侵的风险。数字办亦呼吁公众及机构立即为受影响系统安装修补程序。同日，香港网络安全事故协调中心（HKCERT）向公众发布保安公告；GovCERT.HK 亦发出高威胁保安警报 A26-10-36。业界常以 「PHP2Shell」 指称相关漏洞组合。本文摘要官方警报，供营运网站或内嵌 PHP 的中小企业作资产盘点与官方升级路径参考。本文属一般信息，只谈防御性盘点与修补，不教授 exploit／攻击步骤，亦不等于宣称全港网站已全部中招。

生命周期状态

警报／通告已发布；野外利用已报告。HKCERT 将风险标示为极高风险（Extremely High Risk），并指出 CVE-2026-109618 与 CVE-2026-109619 已在野外被利用。GovCERT 指有 PoC 代码报告，且漏洞正被积极利用。数字办在 2026 年 10 月 22 日公布中表示，截至当时并没有接获任何相关网络保安事故报告。请勿夸大成「全港网站已中招」；宜视为紧急修补／资产盘点信号。

受影响范围（官方撮要）

• PHP 版本低于 8.5.12、8.4.27、8.3.36 及 8.2.35（包括 PHP 项目已不再更新的旧版／EOL 分支）。
• 影响：成功利用可导致目标系统远程代码执行（RCE）。
• 另须查核：内嵌 PHP 的商业产品及开源套件（HKCERT 已列出 WordPress、F5、Citrix、Palo Alto Networks、QNAP 等供应商公告）。请向供应商确认是否受影响及对应修补。

中小企业可采取的防御行动（仅防御）

1. 盘点：列出自行／代理托管的网站、内联网应用、CMS、插件及内嵌 PHP 的设备。
2. 修补：将 PHP 升级至 8.5.12／8.4.27／8.3.36／8.2.35，或套用供应商／发行版提供的 LTS 后备修补。
3. 未能即时修补：HKCERT／GovCERT 建议考虑将互联网暴露应用隔离，或暂时下线，直至修补完成并核实。PHP 项目页的临时缓解措施或可降低部分暴露，但不能完全替代正式更新。
4. 求助：可经电邮 [email protected]、电话 8105 6060 或数字办公报所列网上表格向 HKCERT 查询。

与本站其他保安报道的分别

本站曾报道免费网站安全扫描、BugHunting 登记等自愿计划。本文性质不同：报道的是政府／CERT 就已有野外利用的 PHP 极严重 RCE 漏洞发出的紧急修补／资产盘点警报——不是推广式扫描活动，亦不是 DIY 网络攻击教学。

来源：政府新闻公报 — 数字政策办公室高度关注最新网络安全漏洞（香港，2026 年 10 月 22 日）；英文：DPO Security Alert；HKCERT — PHP Multiple Vulnerabilities；GovCERT.HK — A26-10-36；PHP 项目：php.net archive 2026-10-21-5。查阅日期 2026-10-23 ~12:14 HKT（Asia/Hong_Kong）。

本文仅供一般信息参考，并非法律、税务、会计、网络安全顾问或 IT 营运意见。本文不提供 exploit 细节、攻击程序，或以 DIY 步骤替代合资格保安人员、托管商或供应商指引。风险取决于个别机构系统。本文不保证任何结果、涵盖所有产品，或临时缓解等同完整修补。更改生产系统前应依循数字办／HKCERT／GovCERT／供应商官方通告，并寻求专业协助。