5步應對 PHP 雙 RCE 漏洞：企業緊急指南
PHP 核心雙 RCE 漏洞是可讓未經授權攻擊者在伺服器上遠端執行程式碼的高風險弱點；企業應立即確認 PHP 版本與受影響元件、套用官方修補、檢查入侵跡象，並透過隔離、備份與權限控管降低主機遭接管的風險。
本文參考 CyberQ 漏洞報導，整理 PHP 核心雙 RCE 漏洞的處理重點。由於漏洞資訊提前外洩，且全球仍有大量主機尚未完成修補，網站管理者不應等待攻擊發生後才處理。
PHP 核心雙 RCE 漏洞為什麼需要立即處理？
RCE（Remote Code Execution，遠端程式碼執行）代表攻擊者可能透過網路請求，讓目標主機執行原本不應執行的指令。若弱點存在於 PHP 核心或常用執行環境，影響範圍可能涵蓋網站程式、後台管理介面、資料庫連線與伺服器上的其他服務。
此類漏洞的危險性不只在於單一網站被竄改，還包括：
- 竊取會員資料、管理員帳號與 API 金鑰。
- 上傳 Web shell，長期維持未授權存取。
- 修改網站內容，植入釣魚頁面或惡意程式。
- 利用主機權限橫向移動至內部系統。
- 導致服務中斷、勒索或品牌信任受損。
漏洞嚴重度達 CVSS 9.2 時，企業應將它視為緊急事件，而不是一般例行更新。尤其當漏洞細節或利用方式已在公開環境流傳，攻擊者通常能更快建立掃描與自動化攻擊工具。
企業應先檢查哪些 PHP 主機？
優先盤點直接暴露在網際網路上的主機，包括企業官網、電商平台、會員系統、API 服務、測試站與舊版子網域。不要只檢查正式環境；測試機、備援機與未列入資產清單的主機，也可能成為入侵入口。
建議建立以下資產清單：
- 主機 IP、網域名稱與部署環境。
- PHP 版本、作業系統與 Web server 版本。
- 使用中的框架、外掛、套件與自訂模組。
- 對外開放的 Port、管理介面與 API。
- 負責維護的團隊、備份位置與聯絡方式。
可先從套版網站、長期未更新的 CMS、共用主機，以及無法確認版本的舊專案開始。若企業委託外部廠商維護，應要求對方提供版本盤點與修補證明，而不是只取得「已處理」的口頭回覆。
5 步完成 PHP 漏洞偵測與緊急修補
1. 確認版本與受影響範圍
使用主機管理工具、套件管理器或部署紀錄確認實際執行版本。不要只看控制台顯示的版本，也要確認 CLI、FPM、容器映像檔與背景工作程序是否使用相同版本。若同一台主機存在多個 PHP 版本，必須逐一檢查。
同時記錄修補前狀態，包含設定檔、已安裝模組、服務相依性與目前流量。這些資料有助於回溯問題，也能避免更新後因環境差異造成網站中斷。
2. 先降低暴露面
在正式修補前，可暫時限制管理介面、API 或可疑路徑的來源 IP，並啟用 WAF、反向代理與登入多因素驗證。若主機不需要對外提供服務，應立即移除公開網路連線。
這些措施不是修補的替代方案，而是爭取處理時間。若無法快速完成更新，應將高風險服務移至隔離網段，並限制伺服器對外連線，避免攻擊者下載工具或向內部系統擴散。
3. 套用官方修補並進行測試
使用官方來源取得修正版，不要下載來路不明的「快速修復檔」。更新前先確認備份可還原，再於測試環境驗證登入、檔案上傳、資料庫連線、排程與第三方套件功能。
完成測試後安排正式環境更新，並記錄：
- 修補時間與執行人員。
- 更新前後的版本資訊。
- 服務重啟與設定變更內容。
- 測試結果與異常處理方式。
- 尚未完成修補的主機及預計期限。
若無法立刻更新，應採取虛擬修補、停用受影響功能或暫時下線服務，並由負責人核准風險接受期限。
4. 檢查是否已遭入侵
修補完成不代表事件結束。請回看 Web server、PHP、WAF、登入、系統與雲端平台紀錄，搜尋異常 POST 請求、未知檔案、可疑排程、異常帳號、非預期程序與大量外連流量。
特別注意網站目錄中近期新增或修改的 PHP 檔案，以及檔名看似正常、內容卻含有編碼字串或動態執行函式的檔案。若發現可疑跡象，不要直接刪除證據；先保留磁碟映像、紀錄檔與時間線，再進行隔離與鑑識。
5. 復原、驗證並持續監控
若確認入侵，應從乾淨備份或重新建置的環境復原，不宜只刪除表面上的惡意檔案。同步輪替資料庫密碼、SSH 金鑰、API token、CMS 管理員密碼與第三方服務憑證。
復原後執行弱點掃描、檔案完整性比對與功能測試，並持續觀察登入、流量與錯誤紀錄至少數個週期。最後完成事件報告，說明入口、影響範圍、處理時序與後續改善措施。
如何判斷網站是否可能已被利用？
以下跡象值得立即升級處理：
- 網站出現陌生頁面、重新導向或搜尋結果被置換。
- 管理員帳號在非上班時間登入，或出現異常權限變更。
- PHP 目錄、上傳目錄或暫存目錄出現不明檔案。
- CPU、記憶體、頻寬突然升高，且無對應業務活動。
- WAF 或 Web server 紀錄出現大量異常請求。
單一跡象不一定能證明入侵，但多項訊號同時出現時，應停止一般變更，啟動資安事件流程，通知主機商、維運廠商與內部主管。
安全維運的長期改善方向
建立可持續的網站安全流程
企業可把漏洞管理納入日常網站維運，而不是只在重大新聞出現時處理。建議每月盤點版本與資產，每季執行備份還原演練，並為重大漏洞設定明確的修補服務等級，例如 24 小時內完成暴露主機評估。
同時落實最小權限、網路分段、集中式日誌、弱點掃描與多因素驗證。若團隊缺乏專職資安人員，可透過 服務頁面 了解網站建置、SEO 與維運支援，或從 聯絡我們 取得評估協助。
結論：現在就完成一次 PHP 安全盤點
PHP 核心雙 RCE 漏洞的重點不是只確認「有沒有更新」，而是完整完成資產盤點、版本修補、入侵檢查與復原驗證。請先處理對外暴露、版本不明或長期未維護的主機，再確認備份、權限與監控是否有效。若發現可疑紀錄，應立即隔離並保留證據，不要只刪除檔案。企業現在最適合的下一步，是建立清單、指定負責人與期限，逐台完成修補並留下可稽核紀錄。