【2026年10月22日，台北訊】廣泛應用於網站與電子商務平台的程式語言PHP，近日被揭露兩項重大資安漏洞，嚴重度評分均高達9.2分，漏洞資訊與攻擊程式碼在官方修補程式釋出前便已公開，讓尚未完成更新的網站與網路服務面臨潛在威脅。全球領先資安公司趨勢科技(東京證券交易所股票代碼：4704)旗下全球企業AI資安領導品牌TrendAI™指出，攻擊者可能利用漏洞，在未經身分驗證的情況下遠端執行惡意程式碼，造成資料遭竊、檔案遭竄改或服務中斷。企業應立即盤點PHP使用情形，優先修補對外開放的服務，並確認更新實際生效、持續追查入侵跡象，降低資安風險。同時，全球消費者數位生活防護領導品牌TrendLife™也提出消費者四大防護要點，提醒慎防假更新通知與釣魚連結。

此次漏洞編號為CVE-2026-109618與CVE-2026-109619，嚴重度評分（CVSS v4.0）均達9.2分，皆與PHP的記憶體管理問題有關，可能讓攻擊者在未經身分驗證的情況下遠端執行惡意程式碼。受影響環境包括Apache mod_php、PHP-FPM、CGI、FrankenPHP及LiteSpeed，其中以Apache mod_php風險最高，實際利用條件則依部署環境而異。

只更新WordPress還不夠　TrendAI™籲全面盤點並修補底層PHP

TrendAI™提醒，PHP除了用於網站，也可能存在於容器映像檔、主機控制面板及設備的網頁管理介面，容易成為資產盤點盲區。由於漏洞位於PHP本身，單獨更新WordPress、Magento或企業自建應用程式並不足夠，須由實際管理PHP執行環境的團隊或供應商完成修補。

對於PHP 8.1及更早版本，企業應確認供應商是否提供回補修正，或規劃升級至受支援版本。部分Linux發行版與長期支援供應商會將安全修正套用至舊版套件，因此不能僅憑版本編號判斷修補狀態。PHP官方強調，企業仍須完成安全更新，才能修補漏洞，調整系統設定僅能暫時降低部分風險，無法取代正式修補。

「先修補、再追查」　TrendAI™提出七大行動降低企業風險

面對重大漏洞曝光與攻擊程式碼提前公開的雙重威脅，TrendAI™呼籲企業應以「優先修補、持續追查」原則，並採取以下行動：

1. 全面盤點PHP使用環境：除企業網站外，也應涵蓋容器與建置映像檔、無伺服器函式、開發測試環境，以及內含PHP的第三方產品，並記錄版本與安裝來源。
2. 依暴露程度排序：優先處理對外服務，尤其是檔案上傳、管理後台，以及涉及付款和客戶資料的系統。
3. 確認舊版修補來源：針對PHP 8.1及更早版本已結束官方支援的版本，應向供應商確認回補更新；若無修補方案，應限制存取、隔離或進行升級。
4. 追蹤委外更新進度：與代管、託管服務及設備供應商確認交付時程，核實套件是否包含安全修正。
5. 完成更新並驗證修補：安排緊急變更與測試，重建映像檔，並重新啟動服務或替換容器，確認更新實際生效。
6. 降低風險暴露：等待修補期間，移除不必要的對外服務，以VPN或允許清單限制管理介面，搭配可用的防火牆與入侵防護措施。
7. 先修補、再追查：檢查異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，優先調查修補前持續暴露的系統。

TrendAI Vision One™整合曝險管理與威脅調查　協助企業加速資安應變

面對重大漏洞威脅，企業除了加速修補，更需要掌握資產曝險情形，並持續偵測潛在攻擊跡象。TrendAI Vision One™網路資安曝險管理(CREM)可協助企業依資產重要性安排修補與調查順序；Agentic SIEM與XDR中的XDR Data Explorer可搜尋可疑端點程序活動。企業亦可透過託管式偵測與回應服務(MDR)取得全天候支援，並視需要申請入侵評估或事件應變服務。

民眾也別急著點「請立即更新」　TrendLife™提醒慎防假更新通知與釣魚連結

除了企業應立即做出應變對策外，趨勢科技旗下消費性事業群TrendLife™提醒，目前尚無公開資料顯示詐騙集團已利用此次漏洞行騙，但消費者仍須提高警覺，並做好以下四大防護：

1. 更改密碼：若收到常用網站的通知，確認服務受到此次漏洞影響，請儘速更改密碼，並透過官方App或自行儲存的書籤登入，避免點擊不明連結而落入釣魚陷阱。
2. 慎防假冒的詐騙訊息：詐騙集團可能假借網站發生資安事件，透過簡訊或電子郵件要求使用者立即更新、重新登入或驗證帳號。遇到這類訊息，切勿急於點擊連結，應先透過官方網站或客服確認，亦可撥打165反詐騙諮詢專線查證。
3. 定期檢查裝置安全：確認手機與電腦上的App及防毒軟體皆已更新至最新版本，才能及時修補已知安全漏洞，降低遭惡意網站利用漏洞植入惡意程式的風險。
4. 善用工具強化日常防護：消費者可利用趨勢科技AI防詐達人查證可疑訊息與連結、過濾詐騙簡訊並阻擋詐騙來電。此外，手機可搭配趨勢科技行動安全防護，封鎖詐騙網頁與惡意網址，防範惡意程式；筆電與桌機則可使用PC-cillin雲端版，結合AI防毒、惡意網址阻擋及個資外洩警示，守護裝置與個人資料安全。

趨勢科技強調，面對重大資安漏洞，企業端應把握漏洞曝光後的黃金時間完成盤點、修補及調查，而消費者則應提高防詐意識，切勿因收到緊急更新通知而貿然點擊不明連結。真正需要更新PHP的是網站業者，任何要求使用者透過陌生連結「更新漏洞」或「重新登入」的通知，都應先從官方管道查證，避免讓資安事件成為詐騙集團可乘之機。

更多資訊請參考：

1. TrendAI™ 資安趨勢部落格：兩大PHP重大高風險漏洞CVE-2026-109618／109619修補前遭外洩：企業與IT團隊當前應對指南
2. TrendLife™ 資安趨勢部落格：PHP 重大漏洞資安公告：你熟悉的網站可能暫停服務，請留意假冒「漏洞更新」的詐騙訊息