PHP爆兩大漏洞恐遭駭客入侵　官方急推更新籲立即升級

這次漏洞編號分別為CVE-2026-109618及CVE-2026-109619。PHP安全團隊昨（20）日先發布預告，原訂於台灣時間今天晚間10時推出修補程式，目前官網已公布PHP 8.5.12、8.4.27、8.3.36及8.2.35四個修補版本，網站管理者應依使用分支更新，或確認主機服務商是否已提供修補套件。

不必登入也可能遭攻擊　網站後端成風險核心

PHP主要在伺服器端運作，負責處理網站程式與產生網頁內容，因此這次更新的重點在網站後端環境。官方指出，處理網頁請求的PHP安裝環境均須注意，包括PHP-FPM、Apache搭配mod_php，以及LiteSpeed等，其中mod_php已有不必登入、甚至在網站應用程式執行前就能觸發的攻擊示範。

若漏洞遭成功利用，攻擊者可能藉由伺服器權限，進一步存取網站資料、干擾服務或植入惡意程式。不過，實際損害仍取決於網站設定、權限及防護措施，使用PHP不代表網站已遭入侵，也不能直接推論使用者個資已經外洩。

無法立即修補怎麼辦　資安機構建議評估隔離

歐盟資安應變機構CERT-EU建議，各組織應先盤點使用PHP的應用程式，並儘速安裝更新；若無法及時完成修補，應考慮將受影響的對外服務與公共網路隔離，降低暴露風險。

PHP官方也強調，暫時調整設定只能降低部分攻擊途徑的風險，無法完整取代更新。仍使用PHP 8.1或更舊版本的網站，則應向作業系統或長期支援服務商確認修補供應情況，或升級至仍受支援的版本。

對一般使用者而言，這次需要更新的是網站業者的伺服器環境，手機或電腦瀏覽器更新無法代替修補。若常用購物、訂位或會員網站暫時進行安全維護，可留意業者公告。