PHP官方發布重大安全警訊，揭露PHP存在CVE-2026-109618及CVE-2026-109619兩項重大安全漏洞，CVSS v4.0評分均為9.2分，可能遭遠端攻擊者利用，造成遠端程式碼執行（RCE），進而危及網站及主機安全。請各機關立即盤點使用PHP之網站、應用系統及相關服務，確認是否使用受影響版本，並依官方公告儘速更新至修補版本；如暫時無法完成更新，應採取適當風險緩解措施，並加強監控異常存取、可疑程序執行及檔案異動等情形，以降低遭利用風險。

PHP 官方團隊已於（2026 年 10 月 21 日）釋出針對這兩個嚴重漏洞的緊急更新。

以下是幾個關於此次修復的重要資訊：

已修復的安全版本： 官方釋出的安全版本為 PHP 8.5.12、8.4.27、8.3.36 以及 8.2.35。
舊版用戶面臨較高風險： 這次的官方修補僅針對仍在支援週期內的 PHP 8.2 及以上版本。如果您使用的是 PHP 8.1 或更早的版本（包含 PHP 7 與 PHP 5），由於官方已經停止支援 (EOL)，因此不會有官方的直接更新檔。

解決方案：
系統管理員應該盡速將 PHP 更新至上述的安全版本。
如果仍受限於舊版 PHP，則必須依賴所使用的作業系統（如 Ubuntu、Debian 等）是否提供官方 Backport（向下相容修補），或者必須考慮將存在漏洞的服務暫時下線，並配合 WAF (如 Cloudflare 已部署相關防護規則) 來降低被攻擊的風險。

根據情資來源顯示，駭客極有可能已經使用AI工具，根據本次更新前後的差異製作自動化攻擊方式，建議如無法即時更新應考慮暫時停止服務或與網路隔離以避免攻擊事件發生。

參考資料：