PHP漏洞別亂點更新　資安業者提醒慎防假通知釣魚

更新後仍要查異常　付款、客戶資料系統優先處理

趨勢科技建議，企業應優先修補對外開放的服務，尤其是檔案上傳、管理後台，以及涉及付款和客戶資料的系統。完成更新後，也須視部署方式重建映像檔、重新啟動服務或替換容器，確認修補實際生效。

資安署也提醒，更新後仍應檢視系統日誌及異常存取紀錄，若發現可疑活動，須進一步確認相關帳號與憑證安全性。

趨勢科技則建議持續追查可疑程序、檔案變更、網頁後門及異常對外連線，優先調查修補前持續暴露於網路的系統，避免完成更新後，忽略可能已發生的入侵。

資安署表示，昨（21）日晚間掌握PHP開發團隊釋出修補程式後，已在3小時內發布警訊。不過約有2萬8000個是國內使用PHP的對外網站數量，但不代表全數存在此次漏洞，也不等於已遭駭，實際是否受影響仍須確認使用版本及系統環境。

兩項漏洞達9.2分　無法更新可先防護或下架

資安署指出，PHP安全團隊於台灣時間10月21日晚間10時釋出緊急安全更新，修補CVE-2026-109618及CVE-2026-109619兩項嚴重漏洞，嚴重度評分（CVSS v4.0）均達9.2分，攻擊者可能在未經身分驗證的情況下，從外部執行任意程式碼。

針對使用受影響版本的網站，資安署呼籲立即升級；若暫時無法更新，應先採取網站應用程式防火牆（WAF）等緩解措施，或暫時下架修補。若遇到技術問題，可洽資安署、國家資通安全研究院及TWCERT/CC尋求協助。

收到「立即更新」別急點　先從官方管道確認

網站業者忙著修補，消費者也須留意可能出現的假通知。趨勢科技旗下消費性事業群TrendLife提醒，詐騙集團可能假借網站發生資安事件，透過簡訊或電子郵件要求使用者立即更新、重新登入或驗證帳號，誘導民眾點擊釣魚連結。

不過，趨勢科技強調，目前尚無公開資料顯示詐騙集團已利用此次漏洞行騙，相關提醒屬預防性警示。若收到可疑訊息，應自行開啟官方App、使用原先儲存的書籤，或透過官方網站及客服確認，避免直接從訊息中的連結登入。

若經官方確認，常用網站確實受到此次漏洞影響，民眾應依官方指示儘速更改密碼。手機、電腦上的App及防毒軟體也應維持更新，但這屬於日常安全維護；此次PHP漏洞的修補，仍須由網站或服務業者處理。

只更新WordPress不夠　企業須確認底層PHP已修補

資安署提醒，WordPress、Drupal、Joomla及Magento等主要內容管理系統，均以PHP為底層架構，部分軟體即使未明示使用PHP，內部仍可能以PHP運作，各單位應盤點相關系統與套件。

趨勢科技旗下企業資安品牌TrendAI進一步指出，此次漏洞位於PHP本身，單獨更新WordPress、Magento或企業自建應用程式並不足夠，須由管理PHP執行環境的團隊或供應商完成修補。

此外，PHP也可能存在於容器映像檔、主機控制面板及裝置的網頁管理介面，成為企業盤點盲區。使用代管、託管服務的企業，應向供應商確認更新時程及套件是否包含安全修正；部分供應商會將安全修正回補至舊版套件，因此不能僅憑版本編號判斷修補狀態。