#PHPCriticalVulnerabilityHitsGovernmentWebsites
🔐 PHP 的重大漏洞使網站面臨嚴重的網路安全風險
全球網路安全社群正積極因應 PHP 中發現的兩項重大漏洞。PHP 是一項支援數百萬個網站和網頁應用程式的技術。
這兩項漏洞分別識別為 CVE-2026-109618 和 CVE-2026-109619，嚴重程度評分皆為 10 分中的 9.2 分。
根據 PHP 安全公告和網路安全機構的說法，這些漏洞可能讓攻擊者無須驗證身分，就能在有漏洞的伺服器上執行惡意程式碼。這對仰賴 PHP 的政府入口網站、企業、教育平台和其他線上服務構成嚴重風險。
以下說明事件經過、重要性，以及組織目前應採取的行動。
1. PHP 是什麼，為什麼重要？
PHP 是一種開源的伺服器端程式語言，用於建置動態網站和網頁應用程式。它會處理請求、管理工作階段、與資料庫互動，並協助提供個人化內容。
包括 WordPress、Drupal、Joomla、Magento 和 Laravel 在內的熱門平台與應用程式都仰賴 PHP。
由於 PHP 部署廣泛，其核心執行環境中的漏洞可能同時影響許多不同的應用程式。問題不一定出在特定網站的設計缺陷；也可能源自處理網站請求的底層軟體。
2. 這兩項重大漏洞是什麼？
這兩項漏洞都會影響 PHP 管理記憶體和內部請求處理作業的方式。
🔴 CVE-2026-109618 — 記憶體不足處理
在某些情況下，PHP 可能會在內部請求資料僅部分初始化時遇到記憶體不足錯誤。不當的清理作業可能導致執行環境處理不一致的資料，進而可能讓攻擊者遠端執行程式碼。
🔴 CVE-2026-109619 — 過時的內部狀態
在某些情況下，PHP 可能會保留指向已釋放記憶體的內部狀態。後續請求可能會與這個過時狀態互動，進而可能讓攻擊者執行非預期的程式碼。
這兩項問題的 CVSS 評分皆為 9.2，表示嚴重程度屬於重大。
未經驗證的遠端程式碼執行是什麼意思？
這表示攻擊者可能可以透過網路傳送特製請求，讓有漏洞的伺服器執行惡意程式碼，而無須先登入。視伺服器權限和組態而定，這可能導致未經授權的存取、資料外洩、網站遭竄改或服務中斷。
3. 為什麼政府網站面臨風險？
政府網站通常支援重要公共服務，包括公民入口網站、文件申請、公共紀錄、資訊系統和行政服務。
如果這些服務使用有漏洞的 PHP 安裝版本，攻擊者就可能有機會鎖定其底層伺服器。
可能造成的後果包括：
• 未經授權存取敏感資訊。
• 竄改網站內容或官方資訊。
• 中斷面向公眾的服務。
• 嘗試取得連線系統的存取權。
• 財務、營運和聲譽損害。
網路安全機構已發布緊急指引，部分組織則已考慮或實施暫時隔離暴露服務，以降低風險。
讓網站下線可能造成民眾不便，但在修補作業進行期間，暫時中斷服務或許比讓高度脆弱的系統繼續對外開放更妥當。
4. 這只會影響政府網站嗎？
不是。這是更廣泛的網路安全問題。
任何執行受影響 PHP 安裝版本的組織都可能面臨風險，具體情況取決於軟體版本、組態和暴露程度。
可能受影響的環境包括：
• 政府和公共部門網站。
• WordPress 和其他內容管理系統。
• 電子商務平台和線上支付相關應用程式。
• 教育和醫療入口網站。
• 企業網站和客戶資訊面板。
• 隨附 PHP 的主機伺服器、容器和第三方應用程式。
重要的教訓是，即使網站使用信譽良好的框架，如果底層 PHP 執行環境尚未妥善維護安全，仍可能存在漏洞。
5. 敏感資料面臨哪些風險？
最令人擔憂的是，成功利用漏洞可能讓攻擊者控制在有漏洞伺服器上執行的程序。
視可用權限而定，攻擊者可能：
🔹 存取遭入侵程序可取得的敏感資訊。
🔹 修改檔案、網站內容或應用程式行為。
🔹 安裝惡意元件或建立未經授權的存取管道。
🔹 中斷服務或嘗試入侵連線系統。
🔹 洩露程序記憶體中保存的資訊。
這些是可能造成的後果，並不代表每個有漏洞的網站都已遭到入侵。實際影響取決於環境和攻擊者的存取權限。
儘管如此，組織仍應優先處理受影響的網際網路公開系統，因為後果可能不只影響單一網頁。
6. 哪些 PHP 版本需要留意？
PHP 專案已針對受影響的受支援分支發布安全更新。
管理員應確認執行的版本為適當的已修補版本，包括：
• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12
這些是各分支公告的修正版本。後續安全更新可能會取代這些版本，因此管理員應從官方發行來源或供應商取得並安裝最新的適用版本。
重要：PHP 8.1 和更舊版本已不再由 PHP 專案維護。使用這些版本的組織應確認供應商是否提供回移的安全修補程式，並優先遷移至受支援版本。
如果應用程式使用過時的隨附執行環境、容器映像或主機套件，單獨更新 PHP 可能還不夠。
7. 組織應立即採取哪些行動？
資安團隊和網站營運者應遵循明確的應變計畫：
步驟 1 — 找出有漏洞的系統
盤點所有 PHP 安裝項目，包括正式環境伺服器、預備環境、容器、主機控制面板和第三方應用程式。
步驟 2 — 套用官方安全更新
將受影響系統升級至適當的已修補版本。
優先處理對外公開的伺服器，以及會處理不受信任請求的服務。
步驟 3 — 降低暴露程度
如果無法立即安裝修補程式，請遵循官方供應商和網路安全機構的指引。
在適當情況下，暫時隔離受影響且對網際網路公開的服務，直到修補作業完成。
步驟 4 — 檢查是否有遭入侵的跡象
檢查網頁伺服器、PHP、驗證和端點記錄。
調查未預期的程序、不熟悉的檔案、可疑的對外連線和異常的伺服器行為。
步驟 5 — 確認修補生效
確認目前執行的 PHP 版本，並在必要時重新啟動或重新部署服務，確保不再使用有漏洞的執行環境。
步驟 6 — 做好復原準備
維護經過測試的備份、事件應變程序和復原計畫。如果懷疑遭到入侵，應先進行調查，而不要假設僅套用修補程式就已解決事件。
8. 網站擁有者和一般使用者應了解什麼？
如果您營運網站，請聯絡主機服務供應商或系統管理員，確認 PHP 執行環境是否已更新。代管服務並不代表每個安裝項目或自訂應用程式都一定已取得所需修補程式。
如果您是一般網路使用者，僅因為瀏覽網站，並不需要在個人手機或電腦上安裝 PHP 安全修補程式。主要責任在於營運受影響伺服器的組織。
請繼續使用強度高且不重複的密碼，並在可用時啟用多重要素驗證，同時留意可疑連結和意外收到的訊息。
這些做法很有幫助，但不能取代伺服器端修補作業。
9. 更廣泛的網路安全教訓
這起事件顯示，基礎軟體中的弱點可能為整個數位生態系統帶來風險。
現代網站仰賴多層技術：
程式語言、作業系統、資料庫、網頁伺服器、框架和第三方元件。任何一層出現嚴重缺陷，都可能削弱整體應用程式的安全性。
因此，快速安裝修補程式、負責任地揭露漏洞、持續監控，以及妥善維護基礎架構，都是不可或缺的工作，而非可有可無。
組織也不應認為沒有明顯症狀就代表系統安全無虞。安全需要驗證、監控和主動維護。
結語：安全必須優先於便利
識別為 CVE-2026-109618 和 CVE-2026-109619 的 PHP 漏洞，嚴正提醒我們，即使是廣受信任的技術，也需要持續進行安全維護。
對政府機關、企業、開發人員和主機服務供應商而言，當前的優先事項很明確：找出受影響的系統、安裝適當的安全更新、調查可疑活動，並確認修補作業已完成。
對大眾而言，保持警覺很重要，但恐慌和未經查證的說法無濟於事。請遵循官方公告、參考可信賴的網路安全來源，並了解漏洞會帶來風險，但不代表網站一定已遭到攻擊。
安全的數位生態系統仰賴及時行動、負責任的通報，以及軟體開發人員、安全研究人員、組織和使用者之間的合作。
網路安全不是一次性的工作，而是持續不斷的責任。
🔐 PHP 的重大漏洞使網站面臨嚴重的網路安全風險
全球網路安全社群正積極因應 PHP 中發現的兩項重大漏洞。PHP 是一項支援數百萬個網站和網頁應用程式的技術。
這兩項漏洞分別識別為 CVE-2026-109618 和 CVE-2026-109619，嚴重程度評分皆為 10 分中的 9.2 分。
根據 PHP 安全公告和網路安全機構的說法，這些漏洞可能讓攻擊者無須驗證身分，就能在有漏洞的伺服器上執行惡意程式碼。這對仰賴 PHP 的政府入口網站、企業、教育平台和其他線上服務構成嚴重風險。
以下說明事件經過、重要性，以及組織目前應採取的行動。
1. PHP 是什麼，為什麼重要？
PHP 是一種開源的伺服器端程式語言，用於建置動態網站和網頁應用程式。它會處理請求、管理工作階段、與資料庫互動，並協助提供個人化內容。
包括 WordPress、Drupal、Joomla、Magento 和 Laravel 在內的熱門平台與應用程式都仰賴 PHP。
由於 PHP 部署廣泛，其核心執行環境中的漏洞可能同時影響許多不同的應用程式。問題不一定出在特定網站的設計缺陷；也可能源自處理網站請求的底層軟體。
2. 這兩項重大漏洞是什麼？
這兩項漏洞都會影響 PHP 管理記憶體和內部請求處理作業的方式。
🔴 CVE-2026-109618 — 記憶體不足處理
在某些情況下，PHP 可能會在內部請求資料僅部分初始化時遇到記憶體不足錯誤。不當的清理作業可能導致執行環境處理不一致的資料，進而可能讓攻擊者遠端執行程式碼。
🔴 CVE-2026-109619 — 過時的內部狀態
在某些情況下，PHP 可能會保留指向已釋放記憶體的內部狀態。後續請求可能會與這個過時狀態互動，進而可能讓攻擊者執行非預期的程式碼。
這兩項問題的 CVSS 評分皆為 9.2，表示嚴重程度屬於重大。
未經驗證的遠端程式碼執行是什麼意思？
這表示攻擊者可能可以透過網路傳送特製請求，讓有漏洞的伺服器執行惡意程式碼，而無須先登入。視伺服器權限和組態而定，這可能導致未經授權的存取、資料外洩、網站遭竄改或服務中斷。
3. 為什麼政府網站面臨風險？
政府網站通常支援重要公共服務，包括公民入口網站、文件申請、公共紀錄、資訊系統和行政服務。
如果這些服務使用有漏洞的 PHP 安裝版本，攻擊者就可能有機會鎖定其底層伺服器。
可能造成的後果包括：
• 未經授權存取敏感資訊。
• 竄改網站內容或官方資訊。
• 中斷面向公眾的服務。
• 嘗試取得連線系統的存取權。
• 財務、營運和聲譽損害。
網路安全機構已發布緊急指引，部分組織則已考慮或實施暫時隔離暴露服務，以降低風險。
讓網站下線可能造成民眾不便，但在修補作業進行期間，暫時中斷服務或許比讓高度脆弱的系統繼續對外開放更妥當。
4. 這只會影響政府網站嗎？
不是。這是更廣泛的網路安全問題。
任何執行受影響 PHP 安裝版本的組織都可能面臨風險，具體情況取決於軟體版本、組態和暴露程度。
可能受影響的環境包括：
• 政府和公共部門網站。
• WordPress 和其他內容管理系統。
• 電子商務平台和線上支付相關應用程式。
• 教育和醫療入口網站。
• 企業網站和客戶資訊面板。
• 隨附 PHP 的主機伺服器、容器和第三方應用程式。
重要的教訓是，即使網站使用信譽良好的框架，如果底層 PHP 執行環境尚未妥善維護安全，仍可能存在漏洞。
5. 敏感資料面臨哪些風險？
最令人擔憂的是，成功利用漏洞可能讓攻擊者控制在有漏洞伺服器上執行的程序。
視可用權限而定，攻擊者可能：
🔹 存取遭入侵程序可取得的敏感資訊。
🔹 修改檔案、網站內容或應用程式行為。
🔹 安裝惡意元件或建立未經授權的存取管道。
🔹 中斷服務或嘗試入侵連線系統。
🔹 洩露程序記憶體中保存的資訊。
這些是可能造成的後果，並不代表每個有漏洞的網站都已遭到入侵。實際影響取決於環境和攻擊者的存取權限。
儘管如此，組織仍應優先處理受影響的網際網路公開系統，因為後果可能不只影響單一網頁。
6. 哪些 PHP 版本需要留意？
PHP 專案已針對受影響的受支援分支發布安全更新。
管理員應確認執行的版本為適當的已修補版本，包括：
• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12
這些是各分支公告的修正版本。後續安全更新可能會取代這些版本，因此管理員應從官方發行來源或供應商取得並安裝最新的適用版本。
重要：PHP 8.1 和更舊版本已不再由 PHP 專案維護。使用這些版本的組織應確認供應商是否提供回移的安全修補程式，並優先遷移至受支援版本。
如果應用程式使用過時的隨附執行環境、容器映像或主機套件，單獨更新 PHP 可能還不夠。
7. 組織應立即採取哪些行動？
資安團隊和網站營運者應遵循明確的應變計畫：
步驟 1 — 找出有漏洞的系統
盤點所有 PHP 安裝項目，包括正式環境伺服器、預備環境、容器、主機控制面板和第三方應用程式。
步驟 2 — 套用官方安全更新
將受影響系統升級至適當的已修補版本。
優先處理對外公開的伺服器，以及會處理不受信任請求的服務。
步驟 3 — 降低暴露程度
如果無法立即安裝修補程式，請遵循官方供應商和網路安全機構的指引。
在適當情況下，暫時隔離受影響且對網際網路公開的服務，直到修補作業完成。
步驟 4 — 檢查是否有遭入侵的跡象
檢查網頁伺服器、PHP、驗證和端點記錄。
調查未預期的程序、不熟悉的檔案、可疑的對外連線和異常的伺服器行為。
步驟 5 — 確認修補生效
確認目前執行的 PHP 版本，並在必要時重新啟動或重新部署服務，確保不再使用有漏洞的執行環境。
步驟 6 — 做好復原準備
維護經過測試的備份、事件應變程序和復原計畫。如果懷疑遭到入侵，應先進行調查，而不要假設僅套用修補程式就已解決事件。
8. 網站擁有者和一般使用者應了解什麼？
如果您營運網站，請聯絡主機服務供應商或系統管理員，確認 PHP 執行環境是否已更新。代管服務並不代表每個安裝項目或自訂應用程式都一定已取得所需修補程式。
如果您是一般網路使用者，僅因為瀏覽網站，並不需要在個人手機或電腦上安裝 PHP 安全修補程式。主要責任在於營運受影響伺服器的組織。
請繼續使用強度高且不重複的密碼，並在可用時啟用多重要素驗證，同時留意可疑連結和意外收到的訊息。
這些做法很有幫助，但不能取代伺服器端修補作業。
9. 更廣泛的網路安全教訓
這起事件顯示，基礎軟體中的弱點可能為整個數位生態系統帶來風險。
現代網站仰賴多層技術：
程式語言、作業系統、資料庫、網頁伺服器、框架和第三方元件。任何一層出現嚴重缺陷，都可能削弱整體應用程式的安全性。
因此，快速安裝修補程式、負責任地揭露漏洞、持續監控，以及妥善維護基礎架構，都是不可或缺的工作，而非可有可無。
組織也不應認為沒有明顯症狀就代表系統安全無虞。安全需要驗證、監控和主動維護。
結語：安全必須優先於便利
識別為 CVE-2026-109618 和 CVE-2026-109619 的 PHP 漏洞，嚴正提醒我們，即使是廣受信任的技術，也需要持續進行安全維護。
對政府機關、企業、開發人員和主機服務供應商而言，當前的優先事項很明確：找出受影響的系統、安裝適當的安全更新、調查可疑活動，並確認修補作業已完成。
對大眾而言，保持警覺很重要，但恐慌和未經查證的說法無濟於事。請遵循官方公告、參考可信賴的網路安全來源，並了解漏洞會帶來風險，但不代表網站一定已遭到攻擊。
安全的數位生態系統仰賴及時行動、負責任的通報，以及軟體開發人員、安全研究人員、組織和使用者之間的合作。
網路安全不是一次性的工作，而是持續不斷的責任。
