返回技術公告
資安通知嚴重程度重大CVSS9.8已遭利用（CISA KEV）

OPNsense 發布 PHP2Shell 遠端程式碼執行漏洞緊急修補，請儘速更新

OPNsense

PHP 官方於 2026 年 10 月 21 日公開兩項重大漏洞（通稱 PHP2Shell）：CVE-2026-109618 為記憶體不足（OOM）處理後記憶體未初始化，CVE-2026-109619 為請求結束後全域狀態仍指向已釋放的記憶體。在符合特定執行環境條件時，未經驗證的遠端攻擊者可藉特製 HTTP 請求執行任意程式碼。這兩項 PHP 漏洞已遭實際利用，CISA 於 10 月 26 日列入已知遭利用漏洞清單（KEV）；目前未見針對 OPNsense 的攻擊報告。OPNsense 的網頁管理介面與 Captive Portal 均以 PHP 處理請求，原廠於 10 月 21 日發布頻外（out of band）緊急修補，並強烈建議儘速安裝。

影響版本

  • OPNsense 社群版 26.7.x：未安裝 10 月 21 日緊急修補（PHP 8.5.12 之前）
  • OPNsense 社群版 26.1.x：PHP 8.3.36 之前（26.1 系列已停止一般更新）
  • OPNsense 商業版 26.4.x：26.4.2p4 之前（PHP 8.3.36 之前）

已修正版本

  • OPNsense 社群版 26.7.7 緊急修補（PHP8.5.12）
  • OPNsense 社群版 26.1.11 緊急修補（PHP8.3.36）
  • OPNsense 商業版26.4.2p4PHP 8.3.36
  • OPNsense 社群版 26.7.8（2026-10-30 發布）已包含上述修補

建議處理方式

  1. 於網頁介面「System → Firmware → Status」安裝原廠提供的受支援正式更新；社群版可直接更新至 26.7.8 或之後版本，不要自行替換 PHP
  2. 仍在 26.1 系列者，更新取得 PHP 8.3.36 後，儘速規劃升級至 26.7.x
  3. 有使用 Captive Portal 者，更新後須至「Services → Captive Portal」重新啟動該服務，修正才會生效（原廠說明）
  4. 網頁管理介面曾對外開放或 Captive Portal 開放給不受信任使用者的環境，更新後檢查系統是否有非預期的檔案、排程或帳號

暫時無法更新時

  • 限制網頁管理介面只允許管理網段存取、評估暫停 Captive Portal：為一般降低暴露面的措施，非原廠公布的替代修正
  • PHP 官方表示更新是唯一可靠的修正方式；其公告所列的設定調整（如 memory_limit、fatal_error_backtraces=0、session.upload_progress.enabled=0）以一般 PHP 環境為對象，OPNsense 未說明適用方式，不建議自行修改，也不能取代更新

如何確認是否受影響

  • 於主控台（Shell）執行 php -v：社群版 26.7 應為 PHP 8.5.12 或同分支後續版本，社群版 26.1 與商業版 26.4 應為 PHP 8.3.36 或同分支後續版本
  • 於「System → Firmware」確認更新已成功完成；opnsense-version 只能辨識產品版本，不能單獨證明已安裝 PHP 緊急修補
  • php -v 無法證明執行中的服務已載入新版；使用 Captive Portal 者確認更新後已重新啟動該服務

參考來源

OPNsense 論壇：PHP2Shell (CVE-2026-109618, CVE-2026-109619) fix for 26.4.2p4, 26.1.11, 26.7.7forum.opnsense.orgOPNsense 26.7.7 Changelog（含 PHP 頻外修補）github.comOPNsense 26.1.11 Changelog（含 PHP 頻外修補）github.comOPNsense 商業版 26.4.2 Changelog（patch release 4）github.comOPNsense 26.7.8 Changeloggithub.comPHP GHSA-w8hw-w9fx-j79w：CVE-2026-109618github.comPHP GHSA-6wmf-4rv5-p3rp：CVE-2026-109619github.comCISA Known Exploited Vulnerabilities Catalogwww.cisa.govNVD：CVE-2026-109618nvd.nist.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告