PHP2Shell 漏洞敲響警號：如何以 WAF 建立多層 Web 防禦？

網站、網上商店及企業 API 是企業連接客戶與業務系統的重要入口，但只要應用程式存在未修補漏洞，攻擊者便可能利用網站伺服器作為入侵起點。Cloudbric 於 2026 年 11 月 4 日發表的分析，以 PHP2Shell 漏洞為例，指出企業不能只依賴修補程式，亦需要以多層防禦降低漏洞被利用時的風險。

PHP2Shell 帶來甚麼風險？

Cloudbric 的文章指出，PHP2Shell 涉及兩項於 2026 年 10 月披露的 PHP 核心漏洞：CVE-2026-109618 及 CVE-2026-109619。在特定條件下，漏洞可能讓未經身份驗證的攻擊者執行遠端程式碼（Remote Code Execution，RCE）。這類漏洞值得關注，因為受影響的伺服器可能承載網站、客戶入口、內部系統或 API。

Cloudbric 引述 Amazon Threat Intelligence 的觀察，指相關漏洞在公開披露前已出現利用嘗試。對 IT 團隊而言，這反映漏洞管理有一個現實限制：由發現漏洞、確認受影響資產、測試修補程式，到安排正式部署，中間可能存在暴露時間。企業若只在收到公開通告後才開始盤點，便可能錯過最重要的應變窗口。

修補漏洞仍是首要工作，但不能只靠修補

面對 PHP2Shell，企業應先確認網站及應用程式所使用的 PHP 版本、執行環境、外掛與相依元件，再按照官方安全公告部署適用修補程式。若系統由外判開發商或託管服務商管理，亦應要求對方提供受影響範圍、修補時間及驗證結果。

修補程式處理的是已知軟件弱點，但網站仍可能面對 SQL Injection、跨站指令碼（XSS）、惡意機械人、自動化登入嘗試、異常 HTTP 請求及惡意 IP 流量。換言之，完成一次更新並不代表網站從此不會受到攻擊。企業需要同時維持漏洞管理、存取控制、日誌監察及網絡流量防護。

WAF 如何補上 Web 應用程式防線？

Web Application Firewall（WAF）會檢查進入網站的 HTTP 及 HTTPS 請求，並根據安全規則識別及阻擋可疑或惡意流量。它不能取代安全編碼、修補程式或伺服器加固，但可以在應用程式前方增加一層檢查，協助減少常見 Web 攻擊直接到達後端的機會。

對使用雲端服務及網上平台的企業，WAF 的價值在於可集中管理進站流量政策，並按網站、API 及業務風險調整規則。部署時仍要留意誤判、例外規則及應用程式更新，避免正常客戶交易或 API 呼叫被錯誤阻擋。

Cloudbric Managed Rules：按風險組合不同防護規則

Cloudbric 在文章中介紹 Cloudbric Managed Rules，讓企業按自身需要選擇及組合不同安全規則，以擴大 AWS WAF 的防護範圍。官方列出的規則類別包括：

  • OWASP Top 10 Rule Set：針對常見 Web 應用程式風險提供規則基礎。
  • Malicious IP Protection：識別及處理來自惡意 IP 位址的流量。
  • Anonymous IP Protection：針對匿名網絡來源增加流量檢查。
  • API Protection：為 API 流量加入相應防護規則。
  • Bot Protection：協助處理自動化機械人流量。
  • Tor IP Protection：識別來自 Tor 網絡的連線。
  • Protocol Validity Protection：檢查 HTTP 通訊協定請求是否符合有效格式。

企業不宜單純把所有規則一次過開啟，而應先了解網站功能、客戶流量模式及現有應用程式限制，再以監察模式或測試環境評估規則效果。對登入、付款、搜尋及 API 等關鍵路徑，應特別測試正常請求與異常請求，並建立例外審批及回復程序。

企業可採用的五步應對流程

第一步：建立對外資產清單

盤點所有公開網站、子網域、API、測試環境及雲端負載，並記錄負責部門、系統擁有人、PHP 版本及託管供應商。沒有清單，就難以判斷漏洞通告是否與企業相關。

第二步：確認漏洞影響並優先修補

根據官方 PHP 安全公告及供應商指引，確認受影響版本與部署條件。優先處理直接連接互聯網、承載客戶資料或具有高權限的系統，並保留修補及驗證紀錄。

第三步：在 WAF 加入合適防護

檢視現有 WAF 規則是否涵蓋常見 Web 攻擊、惡意 IP、機械人及 API 風險。按業務需要選擇規則組合，並透過測試避免影響正常流量。

第四步：集中監察並保留事件紀錄

將 WAF 告警、Web 伺服器日誌、應用程式日誌及雲端平台事件互相對照。留意異常請求量、重複錯誤、可疑來源及不尋常的管理操作，並設定清晰的事件升級程序。

第五步：定期演練及檢視規則

以漏洞通告、攻擊模擬及應用程式更新作為演練情境，確認修補、封鎖、回復及通報流程能夠協同運作。每次系統版本或流量模式改變後，都應重新檢查 WAF 規則及誤判情況。

評估 WAF 方案時，買家應問甚麼？

  • 方案支援哪些雲端 WAF 平台及部署方式？
  • 規則更新由誰負責，更新頻率及變更通知如何安排？
  • 能否按網站、API 或不同業務路徑選擇規則？
  • 如何查看封鎖原因、告警及流量紀錄？是否方便匯出至現有 SIEM？
  • 誤判時如何建立例外、審批及回復規則？
  • 服務支援時間、事故升級方式及服務範圍是否符合企業要求？

結語：讓漏洞修補與流量防護互相配合

PHP2Shell 再次提醒企業，公開網站的風險不會只來自單一漏洞。修補程式負責處理軟件弱點，WAF 協助檢查及阻擋惡意請求，而存取控制、日誌監察及事件應變則負責補足其他環節。每一層都有其限制，亦正因如此，多層防禦比單一安全工具更適合面對不斷變化的 Web 威脅。

Cloudbric 表示，其服務伺服器在官方 PHP 安全修正發布後六小時內完成更新；這是供應商披露的自身應變紀錄。企業在選擇 WAF 或託管安全規則時，亦應要求供應商交代更新流程、規則維護、監察能力及支援責任，並以實際測試驗證防護效果。

關於 Cloudbric

Cloudbric 是一家由南韓首爾知名網絡安全公司 Penta Security 開發的雲端安全即服務（SECaaS）平台品牌。它最初是以一體化網頁應用程式防火牆（WAF）的形式推出，如今已擴展為一個全面的網頁應用程式與 API 保護（WAAP）平台。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

企業如何同時兼顧雲端資料主權與 SaaS 備份復原？Keepit 提醒企業重新檢視復原能力

企業把 Microsoft 365、Salesforce、Google Workspace 等平台搬上雲端，日常協作固然方便，但「資料放在雲端」並不等於「資料已經有完整備份」。服務供應商可以負責平台可用性，企業仍然需要確認自己的資料在意外刪除、帳戶被入侵、服務中斷或供應商退出時，是否能夠獨立取回。

資料主權與資料復原，是兩道不同的問題

Keepit 於 2026 年 10 月 15 日發表的分析，以歐盟《Cloud and AI Development Act》（CADA）提案為切入點，指出雲端主權評估主要關注資料所在地、供應商控制權、法律管轄及軟件供應鏈透明度；然而，這些條件並不能單獨證明企業在服務故障或資料事故後可以成功復原。

這個觀點對企業同樣值得參考。即使企業選用具備清晰資料中心位置及合約保障的雲端服務，仍要另外檢查備份副本是否獨立、管理權限是否分隔，以及復原流程會否依賴原本已經失效的服務。CADA 是歐盟政策提案，並非香港法規；本文引用的是其風險管理思路，而不是把歐盟要求直接套用到香港企業。

企業常見的四個復原盲點

1. 備份與正式環境共用管理權限

若正式環境的高權限帳戶同時可以刪除備份，勒索軟件或管理員帳戶失陷時，攻擊者可能同時影響原始資料及備份副本。企業應評估是否可以使用獨立帳戶、分離管理角色及額外驗證，縮小單一帳戶被盜後的影響範圍。

2. 把同步、回收桶或版本記錄當成完整備份

同步功能主要確保不同裝置或使用者看到相同資料；如果錯誤刪除或惡意修改被同步，問題亦可能一併傳播。回收桶及版本記錄有其用途，但保留期限、可還原範圍及管理員可執行的操作都可能有限。企業應明確區分日常版本管理與獨立備份。

3. 只測試單一檔案，沒有測試整個服務復原

實際事故可能牽涉大量郵件、文件、協作空間、使用者及權限設定。只確認某個檔案可以還原，未必代表部門能夠在合理時間內恢復工作。測試時應記錄復原點、復原時間、資料完整性，以及還原後的存取權限是否正確。

4. 忽略身份、DNS 及管理平台等依賴

雲端服務通常依賴身份供應商、目錄服務、DNS 及管理員帳戶。若其中一項中斷，企業即使持有備份，也可能無法登入管理介面或啟動復原程序。因此，復原計劃應列出服務依賴關係，並預先設計不依賴故障系統的應急存取方法。

Keepit 的方向：建立獨立而可驗證的 SaaS 資料保護

Keepit 將其平台定位為 SaaS 資料備份及復原方案，支援企業保護多種雲端應用程式資料。其核心概念是把備份副本與原本的 SaaS 環境分開管理，並以不可變更的資料保存方式降低備份遭到修改或刪除的風險。對企業而言，重點不只是「有沒有備份」，而是備份是否處於另一個安全邊界，以及事故發生時能否實際取回。

Keepit 亦在 2026 年 10 月的平台更新中加入 Salesforce 復原前的儲存空間影響預覽。管理員可在執行還原前檢視文件範圍及預計佔用的資料與檔案儲存空間，並選擇是否包括檔案、附件及富文字欄位圖片。這類預先評估有助減少大規模還原時出現容量意外，但企業仍需按自身 Salesforce 配額及資料結構測試實際流程。

企業選擇 SaaS 備份方案的實用清單

  • 涵蓋範圍：確認方案支援哪些 SaaS 平台、資料物件、附件及權限資訊，並核對授權範圍。
  • 資料位置及管轄：了解備份資料存放地點、資料處理安排、合約條款及跨境存取方式。
  • 隔離與不可變更性：確認正式環境管理員是否可以刪除備份，並了解保留政策如何防止未經授權的變更。
  • 復原粒度：比較單一項目、資料夾、使用者或整個服務的還原能力，以及還原後的關聯資料是否完整。
  • 復原演練：要求供應商示範實際還原流程，並定期測試 RTO、RPO、資料完整性及管理員應急存取。
  • 成本透明度：了解儲存容量、保留期、資料匯出、復原工作及額外管理服務是否涉及費用。

結語：把「可以還原」變成有證據的能力

雲端主權回答的是誰能控制資料及服務；資料復原則回答當服務不可用時，企業能否重新取得可用資料。兩者並不互相取代。企業在評估 SaaS 服務時，除了檢查資料所在地及供應商保障，亦應要求備份副本具備獨立管理、清晰保留政策及可定期驗證的還原流程。

Keepit 的分析提醒企業，不要把合規文件或雲端服務的可用性當成復原保證。真正可靠的策略，是在事故發生前已經測試過：即使原有平台、管理帳戶或供應商出現問題，企業仍然知道資料在哪裏、由誰管理，以及如何安全地取回。

關於 Keepit

Keepit 立足於為雲端時代提供新世代的 SaaS 資料保護。其核心理念是透過獨立於應用程式供應商的雲端儲存，為企業關鍵應用加上一道安全鎖，不僅強化網路韌性，更實現前瞻性的資料保護策略。其獨特、分隔且不可變的資料儲存設計，不涉及任何次級處理器，確保符合各地法規，有效抵禦勒索軟體等威脅，並保證關鍵資料隨時可存取、業務不中斷，以及快速高效的災難復原能力。總部位於丹麥哥本哈根的 Keepit，其辦公室與資料中心遍及全球，已贏得超過 15,000 家企業的深度信賴，客戶普遍讚譽其平台的直覺易用性，以及輕鬆、可靠的雲端資料備份與復原體驗。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.