PHP 修補完成後，還要確認暴露期間
廠商回覆「PHP 已更新」之後，請再問一句：「修補完成前那幾天，有沒有人查過紀錄？查了哪些、結果是什麼？」更新只能擋住之後的攻擊；修補前如果已被利用，更新不會把問題一併清掉。
上一篇〈一個漏洞，看出公司有沒有人在看技術〉談的是先確認版本、重啟服務並留下完成紀錄。這篇接著談完成修補之後，網站負責人還要向廠商確認的兩件事：暴露期間的檢查，以及 PHP 官方在 10 月 23 日補充的一項設定。
為什麼更新完還要回頭看？
新加坡網路安全局（CSA）在 2026 年 10 月 23 日發布給網站擁有者、服務供應商與系統管理者的〈PHP2Shell: Monitoring for related compromises〉指南（1.0 版）。指南寫明：如果服務在官方釋出修補後超過 12 小時仍未修補，應請負責的技術團隊或供應商執行其中的檢查步驟；同時也提醒，不要因為檢查日誌而延後修補。
檢查的時間範圍，指南建議從 2026 年 10 月 17 日開始，一直查到修補後的版本實際運行為止；這個起點引用自 AWS 對利用活動的觀察。PHP 官方修補是在 10 月 21 日發布，所以多數網站在修補前，都有一段需要回頭確認的時間。
CSA 的警示頁（10 月 23 日更新）也提到，已有針對這些漏洞的大規模利用嘗試報告。這是「有人在嘗試攻擊」，不等於每個網站都已被入侵。
請廠商回覆的三個問題
CSA 指南為「PHP 由供應商管理」的情況，列出可以直接問的三個問題：
- 服務有沒有用到 PHP？實際運行的是哪個版本？只更新 WordPress 或外掛，不等於修補了 PHP。
- 修補版是什麼時候部署的？舊的 PHP 程序有沒有重啟？這個時間就是暴露期間的終點。
- 暴露期間的防火牆（WAF）警示、PHP 錯誤紀錄與入侵跡象，有沒有檢查？如果你看不到原始紀錄，請供應商提供這些項目的摘要。
廠商會查哪些跡象？（給負責人看懂就好）
以下是 CSA 指南列出的檢查方向，由技術團隊在既有紀錄裡搜尋。負責人不必自己操作，但可以用來確認廠商的回覆有沒有涵蓋：
- 異常的大型 POST 請求：特別是送到平常不接受上傳的頁面。
- PHP 記憶體耗盡錯誤、程序當掉或一連串 5xx 錯誤。
- 由網站或 PHP 程序啟動的系統指令（例如 shell、curl、wget）。指南把未經授權的執行列為強烈的可能入侵跡象。
- 需要時再深入：網站目錄或暫存目錄裡新增、被改過的 PHP 檔案；PHP 程序對外的異常連線；若懷疑入侵，再查金鑰與資料庫的存取。
指南也說明，單一跡象不一定代表成功入侵，要放在情境裡判斷；例如媒體上傳與部分外掛本來就會產生大型 POST。若發現未經授權的程序或惡意檔案，應保留證據並依既有的事件處理程序處理。
「查無異常」不等於安全
CSA 指南特別寫明：沒有找到可疑紀錄，或紀錄不足，都不能當作安全的證明。成功的利用可能仍回傳正常的 HTTP 200；沒有記錄下來的請求內容，事後也查不到。
所以請廠商回覆時，除了結果，也寫清楚查了哪些紀錄、涵蓋哪段時間、哪些紀錄不存在。如果網站跑在容器或雲端平台上，指南提醒要在工作負載汰換前先保存短期日誌。另外，指南不建議為了這次檢查，就全面開啟請求內容的完整記錄，因為裡面可能有密碼與個人資料。
PHP 官方 10 月 23 日的補充設定
10 月 23 日，PHP 官方發布一則資訊性公告，建議在下一次例行修補版本發布前，將 session.upload_progress.enabled 設為 0，以完整防範一個發生機率很低的遠端執行路徑。官方說明，這只會在特定設定與程式寫法同時出現時發生（執行期間從不更改 session 序列化方式的應用程式，可以維持這項功能開啟），相關的完整公告（CVE-2026-115560）會隨下一次版本一起發布；如果在 10 月 21 日已經套用這項設定，維持即可。
10 月 21 日的公告也說明，這項設定要寫在 php.ini、FPM pool 或伺服器設定裡，並重啟所有程序；不能靠程式裡的 ini_set() 或 FPM 的 .user.ini。是否套用，請由維護廠商依網站實際用途判斷，並在完成紀錄裡寫明。
可以直接轉給廠商的一段話
謝謝已完成 PHP2Shell 修補。請再補充三件事：一、修補版實際上線並重啟 PHP 程序的時間；二、從 10/17 到上述時間，WAF 警示、PHP 錯誤紀錄與可疑程序或檔案的檢查結果，並註明查了哪些紀錄、哪些紀錄不存在；三、是否依 PHP 官方 10/23 的補充建議調整 session.upload_progress 設定，以及判斷依據。如有任何可疑發現，請先保留證據，再一起討論處理方式。
以上內容依新加坡 CSA 指南與 PHP 官方公告整理，是向廠商確認的問題清單，不是入侵判定工具，也不能代替技術團隊的實際檢查。相關資訊截至 2026 年 10 月 26 日；請以官方最新公告為準。