PHP 安全更新後：先修補，再檢查憑證與存取權

PHP 於 2026 年 10 月 21 日發布 8.5.12、8.4.27、8.3.36 和 8.2.35，修補可能允許未經驗證遠端程式碼執行的重大漏洞 CVE-2026-109618 與 CVE-2026-109619。官方公告指出，包含 PHP-FPM 與 Apache mod_php、處理網頁請求的部署均有風險。更新才是完整修補，臨時緩解措施不能等同替代。

存在漏洞 不代表已證實遭入侵。修補、調查與憑證復原是相關工作，但應根據環境與證據決策。

確認真正處理請求的環境

盤點執行 PHP 的公開網站、內部服務、容器與代管帳號。確認處理網頁請求的執行階段版本及修補狀態；命令列顯示的可能是另一個安裝實例。

使用代管服務時，請營運方確認套件、適用服務以及重新啟動或更新是否完成。發行版可能將修補回移舊版，因此應取得供應方的修補確認，不只看上游版本號。與營運方依照 PHP 團隊安全公告確認範圍。不要公開會暴露伺服器設定的診斷頁面。

控制曝光並恢復可信環境

盡快與代管方或維運團隊協調更新。事件評估有需要時，保留相關證據，同時限制曝光或隔離受影響系統。不要為了收集完日誌而延誤緊急圍堵。

檢查曝光期間、網站與系統日誌、非預期檔案或程序，以及相關服務稽核事件。沒有警報或日誌看似正常，都不能證明主機未遭入侵。

若已確認入侵或有合理懷疑，依事件處理流程從可信來源重建或還原。修補不會移除攻擊者的持續存取機制。不要在不可信主機或裝置上產生、接收或安裝替代機密。

先評估憑證再安排輪替

列出受影響程序可能存取的憑證：應用程式設定、環境變數、部署權杖、資料庫憑證及服務 API 金鑰。判斷權限、範圍與曝光可能性。光憑公告不能認定組織全部憑證均已外洩。

對可能曝光的憑證，從可信管理裝置協調在發行服務中替換與撤銷。在可信重建環境安裝新值，驗證正常整合。依是否正在遭濫用、服務功能與相依關係決定順序；不要承諾零停機，也不要為方便而無限期保留已曝光金鑰。

視需要檢查工作階段和復原權限，記錄各項變更的負責人。不要把原始機密寫進事件工單或日誌。 OWASP

工作結束後清理緊急存取權

為應變人員提供個別帳號、最低必要權限與約定的結束時間。復原後檢查臨時角色、工作階段、部署存取及交接連結。移除不再需要的殘留權限，並在對應服務確認結果，不要只依靠行事曆提醒。

區分三種不同控制

控制方式	改變什麼	不能做什麼
交接連結到期	之後透過該連結的存取	撤銷發行服務的憑證
服務端撤銷金鑰	服務是否接受該金鑰	刪除已存副本或修復遭入侵主機
刪除訊息或筆記	對應系統中該項目的可用性	收回下載、截圖或複製文字

恢復信任後才使用臨時交接

流程允許時，可從可信系統建立密碼保護備忘錄，只提供已確認收件者所需的最少資訊。分開傳送密碼，並在方案支援時使用到期時間或存取次數限制。不要在交接內容放入錢包復原助記詞或私鑰。

LOCK.PUB 只是有限的資訊交接工具，不能修補 PHP、修復感染裝置、撤銷服務金鑰或收回副本。它不取代機密管理器、身分控制或事件應變。

常見問題

安裝 PHP 更新後，調查就結束了嗎？

不是。更新解決漏洞，仍需的調查、復原及憑證處置應依證據與曝光範圍判斷。

備忘錄到期會停用其中的 API 金鑰嗎？

不會。必須在發行服務撤銷或替換金鑰。已複製的憑證獨立於傳送它的連結。

相關文章：了解限制後分享 API 金鑰。