針對近期揭露的 PHP Session Upload Progress Use-After-Free（CVE-2026-109618 / CVE-2026-109619） 漏洞，TeamT5 已掌握相關攻擊手法，並將持續透過 ThreatSonar Anti-Ransomware 與 MDR 服務，協助客戶監控場域內的可疑攻擊行為，降低潛在資安風險。

漏洞說明

CVE-2026-109618

PHP 在發生記憶體不足（OOM）錯誤時，會使用 longjmp() 離開目前的執行環境，並中止該次請求的處理。然而，某些執行環境可能未妥善考量此情況，導致在執行記憶體配置前，部分請求記憶體仍處於未初始化狀態。後續的請求清理程序可能讀取這些記憶體，或根據其內容進行分支判斷。透過多種觸發 OOM 的方式，可穩定觸發此問題，進而導致遠端程式碼執行（RCE）。

CVE-2026-109619

PHP 有多種全域狀態會暫時指向請求記憶體。在某些情況下，這些全域狀態可能未被正確重設，或在重設後再次被填入資料，導致其在請求記憶體釋放後，仍指向該記憶體。後續請求可能在這些狀態完成初始化前，讀取其中已失效的內容，或根據其內容進行分支判斷。透過多種方式可觸發此問題，進而導致遠端程式碼執行（RCE）。 

建議依據 PHP 官方安全公告更新至已修補版本。此外，TeamT5 為協助客戶掌握漏洞影響範圍，並提供以下防護與盤點措施：

一、ThreatSonar Anti-Ransomware：持續監控 PHP 相關攻擊行為

ThreatSonar Anti-Ransomware 已具備多項 PHP 相關威脅偵測規則，可協助識別攻擊者可能利用 PHP 執行惡意指令、WebShell、Reverse Shell 等異常行為，包含：

  • php command reverse shell

  • php_cgi_spawn_shell

  • php_cgi_shell_exec_lolbas

  • php-cgi webshell lolbas

  • W3wp Suspicious php-cgi.exe process execution

TeamT5 將持續關注上述 CVE 的攻擊手法與威脅情資，透過 ThreatSonar 監控客戶場域內的可疑活動，並依據最新攻擊趨勢持續評估與強化偵測能力。

二、MDR 服務：主動協助 PHP 資產盤點與修補通知

針對使用 TeamT5 MDR 服務的客戶，我們後續將協助盤點場域內使用 PHP 軟體的端點清單，並透過既有通報管道提醒客戶確認 PHP 版本及執行必要的漏洞修補作業。
透過資產盤點與威脅監控相互配合，協助客戶優先處理可能受影響的系統，降低漏洞遭利用的風險。

三、ThreatSonar 平台的 Threat Hunter 功能：客戶自主查詢 PHP 端點

客戶亦可透過 ThreatSonar 平台的 Threat Hunter（威脅狩獵） 功能，自行搜尋場域內可能安裝或執行 PHP 的端點。

  • Windows 系統：可透過 Hunting Tag 搜尋「Co The Php Group」

  • Linux 系統：可透過 filename 搜尋「~php-fpm」

透過上述查詢方式，可初步識別使用 PHP 的端點，進一步確認軟體版本、評估漏洞影響範圍並安排修補。

提醒您，查詢結果取決於 ThreatSonar 已蒐集的端點資訊，未查詢到結果不代表端點未安裝 PHP；建議搭配系統套件及軟體清單確認。

TeamT5 結合 ThreatSonar Anti-Ransomware 威脅偵測、ThreatSonar 平台的 Threat Hunter 資產盤點及 MDR 主動監控服務，協助企業掌握漏洞暴露範圍、加速修補作業，並及早發現潛在攻擊活動，強化整體資安防護。

另請注意，現有 PHP 相關偵測規則主要用於識別可疑攻擊行為，並非上述 CVE 的專屬漏洞利用偵測規則，因此未出現相關告警不代表不存在漏洞或遭入侵風險。