• 發布單位:TWCERT/CC
• 更新日期:2026-10-22
• 點閱次數:128

PHP官方於2026年10月21日發布安全性更新，修補CVE-2026-109618及CVE-2026-109619兩項嚴重漏洞，CVSS v4.0基礎分數皆為9.2，未經身分驗證之攻擊者可能利用漏洞執行遠端程式碼。TWCERT/CC已發布漏洞警訊公告，美國網路安全暨基礎設施安全局（CISA）、歐盟電腦緊急應變小組（CERT-EU）及英國國家網路安全中心（NCSC）等機構相繼發布警告，呼籲使用PHP之單位立即完成更新；若無法立即更新，應考慮隔離對外系統或暫停服務。

PHP官方公告

PHP官方於2026年10月20日預告，將於10月21日14:00 UTC（台灣時間22:00）發布安全性更新，修補2項嚴重漏洞，並表示若漏洞細節提前公開或出現實際利用跡象，將提前發布。

PHP官方於10月21日發布更新，修補之漏洞如下：

表1、PHP於2026年10月21日修補之漏洞（資料來源：PHP安全公告）

依官方說明，CVE-2026-109618與記憶體不足之處理機制有關，可能使PHP在請求資料尚未完成初始化時中斷，後續清理程序誤將無效資料視為有效資料。CVE-2026-109619則是請求所屬之內部狀態於記憶體釋放後仍殘留，同一處理程序後續處理之請求可能在初始化前使用該狀態。

受影響範圍涵蓋所有處理網頁請求之PHP環境，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed。官方認為Apache mod_php風險最高，並已驗證未經身分驗證之請求可於應用程式碼執行前觸發攻擊。

各版本之修補方式如下：

表2、PHP各版本修補方式（資料來源：PHP安全公告）

官方強調，更新為唯一完整之解決方式。公告中雖列出可降低特定攻擊路徑曝險之暫時設定，但該等措施無法確保系統安全。

國際資安機構示警

CISA呼籲各組織立即修補兩項漏洞，並更新至官方修補版本。

CERT-EU於安全公告中指出，漏洞技術細節已公開討論，初步概念驗證（PoC）開始流傳，攻擊者已利用漏洞之可能性因此升高，建議立即修補；無法立即修補者，應考慮將對外應用程式與公共網路隔離，直至修補完成並經驗證。CERT-EU並提醒，許多商用及開源產品以PHP作為後端技術，即使未直接對外提供PHP服務亦可能受影響，可參考荷蘭國家網路安全中心（NCSC-NL）彙整之受影響產品清單。

英國NCSC表示，使用任何版本PHP之組織均受影響，建議全面盤點基礎設施中執行PHP之系統並優先處理對外系統，同時留意內嵌PHP之設備與服務供應商更新；無法更新或套用暫時措施時，應考慮將系統下線，並檢查是否有遭入侵或植入後門之跡象。

日本情報處理推進機構（IPA）於修補發布前發布事前準備呼籲，並表示目前未確認有利用該漏洞之攻擊。日本國家網路安全統括室亦於X發文，呼籲儘速套用更新，並指出若難以迅速完成修補，暫時停止網站運作亦為降低風險之有效方式之一。

另依路透社報導，芬蘭國家資訊科技中心Valtori於修補發布前預防性關閉政府對外網路服務，並表示未發現漏洞遭利用之嘗試。荷蘭國會二院、NCSC等機關網站亦預防性暫停服務。

建議措施

TWCERT/CC提醒，網站由委外廠商建置或代管業者維運之單位，應主動向廠商確認PHP版本及修補狀態，使用WordPress、Drupal、Joomla、Magento等以PHP運作之內容管理系統者，亦應一併確認；另因初步PoC已開始流傳，已完成更新之系統亦宜檢視存取紀錄，確認修補前是否已有遭入侵跡象。TWCERT/CC建議採取下列措施：

•        儘速更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35；使用Linux發行版套件或長期支援服務者，應向供應商確認已提供更新套件。

•        使用PHP 8.1及更早版本者，應洽詢供應商是否提供修補，或升級至受支援版本。

•        全面盤點使用PHP之系統並優先處理對外服務，範圍應涵蓋內嵌PHP之設備、第三方軟體及服務，並持續留意相關供應商發布之更新。

•        若無法立即完成更新，應考慮將對外系統與網際網路隔離或暫停服務。

•        無法立即更新或停用之系統，應於完成更新或緩解前檢查是否有遭入侵跡象，並清查是否遭植入後門。

•        使用PHP 8.2者，應於2026年12月31日結束生命週期前規劃升級。