CVE-2026-109618 ／ CVE-2026-109619 · CVSS v4 9.2 · 2026-10-28 10:38（UTC+8）更新

PHP 重大漏洞 php2shell：F5 BIG-IP Advanced WAF 防護說明

PHP 在 2026-10-21 公布兩個可在未登入狀態下遠端執行程式的漏洞。本頁說明使用 F5 BIG-IP Advanced WAF 保護 PHP 網站的客戶，需要完成哪些設定。

第一優先：升級 PHP完整的修補方式是把 PHP 升級到 8.5.12、8.4.27、8.3.36 或 8.2.35。WAF 防護只能在升級完成前降低風險，不能取代升級。

漏洞摘要

F5 Advanced WAF 客戶要完成的 4 件事

F5 已在 K000163821 發布 3 個專用的 attack signature。安裝更新後還要完成下列設定，WAF 才會真正阻擋。

已經設定過的客戶請注意F5 在 ASU 20261022 更新了 200103697 與 200204115。之前用 ASU 20261021 設定好的 policy，安裝 20261022 後這 2 個會回到 Staging，要再 Enforce 一次。見處理方式。
  1. 安裝特徵碼更新（ASU）20261022_154742 或更新版本 沒有開啟自動安裝時，設備只會下載、不會安裝。請到 Live Update 確認狀態是「Currently Installed」。 設定步驟 1
  2. 確認每個 PHP 網站的 policy 都包含這 3 個 signature 常用的預設 signature set 不包含這 3 個 signature，需要另外加入 policy。 設定步驟 2、3
  3. 把 3 個 signature 設為 Enforced，並 Apply Policy 新加入的 signature 預設在 staging 狀態，只會記錄、不會阻擋。 設定步驟 4　已設定過的客戶
  4. 驗證防禦已生效 用瀏覽器開啟測試頁並送出，確認 WAF 回應阻擋頁。這個測試只會觸發其中 1 個 signature，所以還要在 policy 確認 3 個都是 Enforced。 驗證方法

F5 指定的 3 個 signature

200204113PHP Remote Code Execution
CVE-2026-109619
200103697PHP Remote Code Execution (2)
CVE-2026-109618
200204115PHP Remote Code Execution (3)
CVE-2026-109618

F5 另外建議了幾項選用的 WAF 設定，可能影響正常功能，請依網站需求評估。詳見 F5 K000163821，或洽詢您的業務窗口。

BIG-IP 設備本身

BIG-IP 的管理介面（Configuration utility）與 APM 的 Access profile 也使用 PHP。受影響的版本是 17.1.0–17.1.3、17.5.0–17.5.1、21.1.0。

請升級到修正版F5 已在 2026-10-23 發布修正版 17.1.3.7、17.5.1.11、21.1.0.4。有啟用 APM 或 SSLO 的設備，請儘速升級。其他設備如果管理介面已限制存取，可以安排在維護時段升級。見升級的優先順序。

BIG-IQ、F5OS、NGINX 全系列與 F5 Distributed Cloud 不受影響。

BIG-IP 升級與緩解升級步驟

詳細資料

設定步驟給 F5 工程師：ASU 安裝、加入 signature、Enforce，附設備畫面 驗證方法用瀏覽器或一行指令確認防禦生效，並在設備 log 中查詢 BIG-IP 升級與緩解給 BIG-IP 管理者：修正版本、升級注意事項、暫時的緩解 升級步驟給 BIG-IP 管理者：備份設定，升級到修正版，附 GUI 畫面 工具下載測試頁與檢查 script（GitHub）

F5 官方公告（英文）：K000163821、K000163848（修正版清單）

需要協助設定或驗證時需要協助，請聯絡您的業務窗口。