PHP 漏洞波及 NAS 應用套件！QSAN 企業級儲存方案公告「不受影響」

2026 年 10 月 21 日，PHP 核心執行環境揭露兩項重大安全漏洞 CVE-2026-109618 與 CVE-2026-109619，統稱「PHP2Shell 漏洞」，兩項漏洞在 CVSS 通用漏洞評分系統 v4.0 評分均高達 9.2 分（Critical，嚴重等級），在特定受影響環境下，攻擊者可能無須取得帳號密碼，即可透過精心設計的網路請求觸發遠端程式碼執行（Remote Code Execution, RCE）。

    - 延伸閱讀：PHP 是什麼？為何全球近八成網站使用的語言，成為企業縱深防禦的關鍵交鋒點

由於 PHP 被廣泛應用於網站後端、企業管理平台及網路設備套件，這次漏洞的影響不僅限於傳統 Web Server，更延伸至部分 NAS（Network Attached Storage）儲存系統，身為台灣專業資安代理商，橙鋐科技也在事件曝光後持續關注各大原廠消息與產業新聞，在今日，台灣已有知名 NAS 製造商發布安全公告，確認旗下部分郵件、行事曆、網站服務等 PHP 相依套件受到影響，並陸續提供修補更新。

根據 PHP 官方安全公告，以及橙鋐科技代理的台灣企業級儲存品牌 QSAN 廣盛科技原廠技術說明，此次兩項漏洞均涉及 PHP 直譯器的 Request Memory（請求記憶體）管理流程。解釋一下，PHP 在處理網頁請求時，會配置暫時性的記憶體空間，供程式執行、資料處理及狀態管理使用，當請求完成後，系統應清理相關資源，避免不同請求之間產生非預期的資料存取，然而此次 PHP2Shell 的問題正是發生在這個過程中：

CVE-2026-109618｜記憶體不足處理異常： PHP 使用 longjmp() 處理 OOM 錯誤（Out of Memory，記憶體不足），提前中止當前請求。但部分執行情境未妥善處理中止流程，導致請求記憶體尚未完成初始化，後續清理程序卻可能讀取這些資料，或依據其內容執行錯誤的程式分支。

CVE-2026-109619｜過期記憶體參照： PHP 部分全域狀態會暫時指向請求使用的記憶體，若相關狀態未正確重置，即使原本的記憶體已被釋放，系統仍可能保留舊參照，讓後續請求讀取失效的資料或依其執行程式邏輯。

簡單來說， 第一項漏洞如同系統尚未完成資料初始化，就開始讀取與處理；第二項則像是某個資料位置已經失效，系統卻仍沿用舊地址進行操作，這類底層記憶體錯誤在特定條件下可能遭攻擊者利用，進而造成程式執行流程被操控。對外開放的 PHP 服務若使用受影響版本，就可能成為遠端攻擊入口。

因此，判斷 NAS 是否受到 PHP2Shell 影響，不能僅依據設備是否使用 PHP，而必須確認實際元件版本、執行環境及相關服務的存取條件。

相較於部分 NAS 平台因應用套件依賴而需要進行緊急更新，此次 QSAN 的評估結果，讓企業用戶能夠快速釐清設備風險，減少因漏洞應變而產生的額外維運負擔，而從更長期的產品定位來看，QSAN 重視的不只是儲存效能與容量，更將系統安全、管理控制及穩定運作視為企業級儲存架構的重要設計考量。

QSAN 在企業級儲存產品設計上，也將資料保護、存取控制與系統穩定性納入重要考量，透過多項安全管理機制，協助企業強化儲存環境的防護能力：

✅WORM（Write Once, Read Many，一寫多讀）： 透過限制受保護資料的修改與刪除，降低重要檔案遭惡意竄改或誤刪的風險。

✅RBAC（Role-Based Access Control，角色型存取控制）： 依照不同管理角色分配操作權限，減少不必要的高權限存取。

✅ACL（Access Control List，存取控制清單）： 針對檔案及資料夾設定存取權限，協助管理共享資料的讀取與修改範圍。
✅Snapshot Lock（快照鎖定）： 透過鎖定快照，防止資料備份在保護期間遭惡意竄改或刪除，確保資料完整性並提升企業面對勒索軟體攻擊時的復原能力。

對於重視長期維運的企業而言，儲存設備的價值不僅在於容量、效能與操作便利性，更在於產品本身的安全性與穩定性，此次 PHP2Shell 事件中，QSAN 兩大企業級儲存系列不受影響的評估結果，提供了明確的產品安全資訊；而其資料保護與權限管理設計，也展現 QSAN 對企業儲存安全與穩定運作的重視。