數碼政策辦公室／HKCERT 警示「PHP2Shell」極高風險漏洞：有網站或內嵌 PHP 的中小企應立即盤點並安裝修補

香港數字政策辦公室（數字辦／DPO）於 2026 年 10 月 22 日表示，高度關注廣泛應用於全球網站後端的程式語言 PHP 所存有的嚴重安全漏洞。數字辦已向所有政府決策局／部門及公營機構發出保安警報，要求即時全面檢視資訊系統有否受影響，並必須盡快完成系統修補；否則相關系統須暫時離線或隔離，以降低被惡意入侵的風險。數字辦亦呼籲公眾及機構立即為受影響系統安裝修補程式。同日，香港網絡安全事故協調中心（HKCERT）向公眾發布保安公告；GovCERT.HK 亦發出高威脅保安警報 A26-10-36。業界常以 「PHP2Shell」 指稱相關漏洞組合。本文摘要官方警報，供營運網站或內嵌 PHP 的中小企作資產盤點與官方升級路徑參考。本文屬一般資訊，只談防禦性盤點與修補，不教授 exploit／攻擊步驟，亦不等於宣稱全港網站已全部中招。

生命周期狀態

警報／通告已發布；野外利用已報告。HKCERT 將風險標示為極高風險（Extremely High Risk），並指出 CVE-2026-109618 與 CVE-2026-109619 已在野外被利用。GovCERT 指有 PoC 程式碼報告，且漏洞正被積極利用。數字辦在 2026 年 10 月 22 日公布中表示，截至當時並沒有接獲任何相關網絡保安事故報告。請勿誇大成「全港網站已中招」；宜視為緊急修補／資產盤點訊號。

受影響範圍（官方撮要）

• PHP 版本低於 8.5.12、8.4.27、8.3.36 及 8.2.35（包括 PHP 專案已不再更新的舊版／EOL 分支）。
• 影響：成功利用可導致目標系統遠程代碼執行（RCE）。
• 另須查核：內嵌 PHP 的商業產品及開源套件（HKCERT 已列出 WordPress、F5、Citrix、Palo Alto Networks、QNAP 等供應商公告）。請向供應商確認是否受影響及對應修補。

中小企可採取的防禦行動（僅防禦）

1. 盤點：列出自行／代理託管的網站、內聯網應用、CMS、外掛及內嵌 PHP 的設備。
2. 修補：將 PHP 升級至 8.5.12／8.4.27／8.3.36／8.2.35，或套用供應商／發行版提供的 LTS 後備修補。
3. 未能即時修補：HKCERT／GovCERT 建議考慮將互聯網暴露應用隔離，或暫時下線，直至修補完成並核實。PHP 專案頁的臨時緩解措施或可降低部分暴露，但不能完全替代正式更新。
4. 求助：可經電郵 [email protected]、電話 8105 6060 或數字辦公報所列網上表格向 HKCERT 查詢。

與本站其他保安報道的分別

本站曾報道免費網站安全掃描、BugHunting 登記等自願計劃。本文性質不同：報道的是政府／CERT 就已有野外利用的 PHP 極嚴重 RCE 漏洞發出的緊急修補／資產盤點警報——不是推廣式掃描活動，亦不是 DIY 網絡攻擊教學。

來源：政府新聞公報 — 數字政策辦公室高度關注最新網絡安全漏洞（香港，2026 年 10 月 22 日）；英文：DPO Security Alert；HKCERT — PHP Multiple Vulnerabilities；GovCERT.HK — A26-10-36；PHP 專案：php.net archive 2026-10-21-5。查閱日期 2026-10-23 ~12:14 HKT（Asia/Hong_Kong）。

本文僅供一般資訊參考，並非法律、稅務、會計、網絡安全顧問或 IT 營運意見。本文不提供 exploit 細節、攻擊程序，或以 DIY 步驟替代合資格保安人員、託管商或供應商指引。風險取決於個別機構系統。本文不保證任何結果、涵蓋所有產品，或臨時緩解等同完整修補。更改生產系統前應依循數字辦／HKCERT／GovCERT／供應商官方通告，並尋求專業協助。