技術雷達日報｜2026 年 10 月 26 日（週一）

背景。 Palo Alto Networks Unit 42 在 10 月 23 日更新其 PHP2Shell 威脅簡報時，曾寫到觀察到一起針對歐洲政府機關的入侵：攻擊發生在易受攻擊的 PHP 應用程式環境中，並被解讀為與 CVE-2026-109618、CVE-2026-109619（合稱 PHP2Shell）有關，後續還描述了疑似 agentic 攻擊者在兩小時內觸及密碼雜湊與 MFA 密鑰等行為。該說法在台灣與國際媒體、開發者社群被大量轉述，成為「野外已實戰利用 PHP2Shell」的重要依據之一。

發生什麼事。 Unit 42 於 2026-10-25 14:15 PT（約台北時間 10/26 05:15） 再度更新同一篇威脅簡報，在文首「October 25 Update」明確撤回 10 月 23 日的那段更新：研究人員確實觀察到一場針對歐洲政府機關、在易受攻擊 PHP 應用程式脈絡下執行的攻擊，因此一度相信是 PHP2Shell 利用；但 Unit 42 現在無法確認初始存取與那兩個特定 CVE 有關，並已撤回先前更新。簡報其餘部分仍把 PHP2Shell 定位為 CVSS 4.0 9.2 的未驗證遠端程式碼執行風險，並以 Cortex Xpanse 遙測寫到超過 2,260 萬 個可能暴露實例；建議仍是立即依 PHP Group 公告修補。

為什麼重要／對開發者影響。 這是 PHP2Shell 事件鏈上的關鍵校正：野外有人拿 PHP 應用程式被入侵，不等於已證實是 CVE-2026-109618／109619 的初始入口。對台灣開發者與維運而言，數發部資安署先前盤點國內約 2.8 萬 個對外 PHP 網站、約 200 個政府機關網站需優先處理的壓力並未因此解除——官方修補線仍是 PHP 8.5.12、8.4.27、8.3.36、8.2.35；無法立刻升級者應部署 WAF 等緩解，兩邊都做不到則考慮暫停對外服務。只是對外溝通與威脅情報引用時，不應再把「歐洲政府機關入侵」直接掛在 PHP2Shell CVE 名下。

修補／緩解。 受影響：PHP 8.5／8.4／8.3／8.2 修補版之前、以及官方不再維護的更舊分支。完整解法只有升級到上述修補版（或發行版／LTS 廠商的回溯套件）；緩解仍可參考 php.net 與 GHSA 所列（例如限制或關閉 session upload progress 等），但官方強調唯有更新才是完整解法。

來源。 Unit 42 威脅簡報（Updated October 25） · php.net 緊急資安公告 · X 討論線索：snakeyesV1、HN 討論

值得追蹤。 Unit 42（Palo Alto Networks 威脅情報團隊）；PHP Group 安全團隊；台灣方面可對照數發部資安署／TWCERT/CC 後續修補進度說明。

查核備註。 「2,260 萬暴露實例」為 Unit 42／Xpanse 遙測表述，非獨立掃描複核；歐洲受害機關名稱未公開。數發部「2.8 萬／約 200」數字出自 10/22 行政院會後說明（本期時間窗外），此處僅作台灣相關脈絡，非本期新盤點。

---

背景。 PHP2Shell 修補後，社群對「真實世界是否好打」爭論激烈。有人架起 stealmybitcoin.com 挑戰站，在未修補的 PHP 上放比特幣錢包作為賞金，意圖用「久攻不下」證明漏洞難利用；早期還一度因首頁只有靜態 HTML、未真正走進 PHP 執行路徑，被資安內容創作者 LiveOverflow 公開拆穿。

發生什麼事。 研究／駭客 @killa 於 2026-10-25 15:47:38 UTC（台北時間約 23:47） 在實戰 log 中完成健康檢查 → heap 洩漏 → code 洩漏 → 最終約 368,812 byte POST 回傳含校驗通過的 WIF；挑戰發起人 James Pavur（@JamesPavur） 稍後公開承認伺服器上誤放了 root wallet WIF、而非頁面上顯示的分支錢包金鑰，導致得獎地址對不起來。killa 隨即把單檔標準函式庫 Python PoC 與說明開源到 GitHub（KillaBoi/StealMyBitcoin-PoC，建立於 10/25 21:48 UTC）。文中標定目標為 Alpine PHP 8.4.26、nginx 後方 php -S CLI server、四個 worker；本地實驗室連續 10 次無重試測試中，有 7 次驗到執行證明、2 次 callback 未命中、1 次 heap 洩漏未成功。LiveOverflow 亦表示已對「nginx → php -S／PHP 8.4.26」組出可靠 exploit，並強調這不是典型正式環境（例如 Debian php-fpm 二進位版面不同，PoC 會在 code-leak 階段直接中止）。

為什麼重要／對開發者影響。 這把爭論從「有沒有野外」拉回工程事實：在 特定 SAPI／映像／worker 重用 條件下，未修補 PHP 可以被鏈成命令執行；但 PoC 對 build 與佈署極度敏感，不能外推成「所有 PHP 站點幾小時內必遭」。對維運的務實結論仍是：立刻升級，並避免把 php -S 或未修補映像直接暴露在公網。挑戰站本身與「歐洲政府機關」事件無直接因果；本項證明的是可利用性上限，不是 Unit 42 撤回前的那則歸因。

來源。 killa PoC／write-up · James Pavur 確認貼文 · LiveOverflow 宣布攻破 · LiveOverflow 先前技術拆解

值得追蹤。 @killa（PoC 作者）；@LiveOverflow（公開逆向與利用條件分析）；@JamesPavur（挑戰發起人）。

查核備註。 撰寫時 stealmybitcoin.com 以本環境 curl 無法連線（連線失敗）；數字與時間取自 GitHub README 與 X 一手貼文。PoC 標明為實驗室重建，並自陳實戰當下未完整擷取原始 HTTP 封包。

---

背景。 Tailscale 以 WireGuard 網狀組網與內建 Tailscale SSH 著稱，常被當作零信任遠端存取的簡化方案；開源自架控制面則有 headscale。既有威脅模型多假設「已授權裝置＝可信端點」。

發生什麼事。 Cyberdione Labs 的 Erica Windisch 公開 Tailworm 報告，測試窗口 2026-10-22～10-24，標的為未修改發行版 Tailscale v1.104.2 與 headscale v0.29.5，列出 11 項實驗室可重現發現（內部標號含 T1–T3、C1–C4、SERVE-F-1～F-5）。核心論點：啟用 Tailscale SSH 時，unix-socket 轉發（ssh -L／-R）以 root 做路徑檢查與檔案操作，再搭配 TOCTOU，可讓「已有一臺被允許連 SSH 的裝置」在實驗室中於 每跳不到一秒 擴散到政策允許的其他節點、取得 root、甚至在未開 Tailnet Lock 的預設下加入惡意節點；另有 app connector（conn25）目的地未驗證、headscale 未驗證資源耗盡、serve 轉到 unix socket 等類別。報告採「已回報但非協調式公開」路線；截至撰寫時，Tailscale 安全公告頁最新仍是 TS-2026-013（eMudhra 憑證，10/21），尚無針對 Tailworm 的 bulletin／CVE，GitHub 上最新客戶端發行仍是 v1.104.2（10/21）。

廠商回應。 Tailscale 工程副總裁 Mike Shaver（Reddit /u/shaver） 於 2026-10-25 00:41 UTC（台北約 08:41） 發文：已收到報告；工程與安全團隊本來就在外部專家協助下調查相關領域並已找到要修的問題；目前評估 不建議所有人關閉 Tailscale SSH。他指出多數問題屬「連線已獲授權之後」的 Unix 權限與 SSH 轉發處理，可能讓 session 做到超過設定之本地使用者應有的事，但不同於未驗證攻擊者任意連任意機器。暫時措施包括：檢視 SSH 存取政策、不需要就關閉轉發（可設 TS_SSH_DISABLE_FORWARDING=1 後重啟 tailscaled）、考慮 SSH check mode、開啟自動更新；並承諾之後發布含確認項目、受影響組態、建議動作與可用修補的安全公告。公開程式庫在 10/25～10/26 可見多筆與 SSH monitor／以使用者憑證執行轉發子行程相關的合併（例如 PR #21937、#21941），顯示修復工程在進行，但官方尚未對應說明這些提交是否逐一對上報告的 11 項。

為什麼重要／對開發者影響。 若你的開發／維運跳板、CI runner 或家用 NAS 靠 Tailscale SSH 互連，這屬於「網狀信任假設」被打穿的設計級討論：攻擊前提是已有一台被允許的立足點，不是從公開網際網路無憑證直打。headscale v0.29.5 被報告指稱 SSH 轉發無法關閉、每個 SSH 授權都應視為等同 root；上游 headscale 最新 v0.29.6（10/24） 發行說明主軸是 Go 1.27.3／eMudhra 與相依套件，未宣稱修掉 Tailworm 的 SSH 轉發問題。

暫行緩解（綜合報告與 Shaver）。 將 SSH 規則改成逐對（特定來源→特定目的），拿掉 identity／tag 級寬鬆規則；SaaS 上關閉不必要的 forwarding，或以 TS_SSH_DISABLE_FORWARDING=1 關閉轉發；拿掉不需要的 app connector 權限與指向 unix socket 的 tailscale serve；開啟 node-key 到期；疑遭入侵時在控制面刪除節點（重灌機器無法撤銷已遭複製的金鑰）。Check mode 只是多一道登入關卡，不能修提權本身。

來源。 Tailworm 報告 · Shaver Reddit 公告 · Tailscale 安全公告頁（尚無 Tailworm 條目） · HN 討論 · X 線索：pwnwatch_app

值得追蹤。 Erica Windisch／Cyberdione Labs；Mike Shaver、Tailscale 安全公告 RSS；headscale（juanfont）後續 security release。

查核備註。 11 項細節目前主要來自單一實驗室報告；Tailscale 尚未逐項確認。公開 PoC 據稱僅提供給廠商。媒體轉述中的「未先通知就公開」與研究者「週六已寄報告與 PoC」說法並存，以雙方公開文字為準。

---

背景。 PHP2Shell 在正式釋出前，協調揭露時程曾因資訊外流而壓縮；社群流傳「有人在 HN 搶先爆料」但先前日報缺少可核對的一手連結。

發生什麼事。 HN 帳號 petecooper 於 2026-10-22 10:11:44 UTC 發布 Tell HN: I unknowingly broke the PHP RCE embargo. I am sorry（HN item 50193416）。內文承認自己貼出與 CVE-2026-109618、CVE-2026-109619 相關的即將到來 RCE 資訊，對協調揭露時程與後續工作量造成連鎖影響；聲明當時不知有禁運、聯絡人亦告知沒有禁運，本意是提醒自行編譯、跟著四週釋出節奏的管理者盡快更新，並承擔全部責任。貼文在 API 讀取時約有 743 分、268 則討論。

為什麼重要。 這補齊「禁運被打破」敘事中的可引用一手來源，有助把責任歸屬從傳聞落到具名貼文；它不改變漏洞本身的修補優先順序。

來源。 HN 原文 · HN Firebase API 核對

值得追蹤。 petecooper；PHP Foundation 對協調揭露時程的事後說明（若有）。

查核備註。 貼文時間在本期時間窗之前，依「先前標為待補、找到一手來源可補」原則列入；非本期新發生事件。

---