近期發現 PHP 核心元件存在重大安全漏洞（CVE-2026-109618、CVE-2026-109619），攻擊者可能透過受影響之 PHP 執行環境進行未經授權之遠端程式碼執行，對外提供服務之網站及系統應特別注意。
一、影響範圍
請各網站及系統管理人員確認所管理之網站、系統及伺服器是否使用 PHP，並檢視目前使用版本是否屬受影響範圍。
目前已提供修補之版本如下：
- PHP 8.2：請更新至 8.2.35（含）以上
- PHP 8.3：請更新至 8.3.36（含）以上
- PHP 8.4：請更新至 8.4.27（含）以上
- PHP 8.5：請更新至 8.5.12（含）以上
PHP 8.1（含）以下版本已停止官方安全性支援，若仍有使用情形，請一併評估升級至目前受支援之安全版本。
註：WordPress、Drupal、Joomla及Magento等內容管理系統之底層架構多使用PHP運作，建議盤點與儘速進行處置。
二、處置建議
如確認網站或系統使用受影響之 PHP 版本，請儘速：
- 自行辦理 PHP 版本更新及相關修補作業；或
- 通知網站／系統維護廠商確認受影響情形並完成更新修補。
- 更新前請依實際環境做好必要之系統及資料備份，並於更新後確認網站及系統功能正常。
- 如因相容性因素暫時無法完成版本更新，應先採取官方建議之暫行風險降低措施，並儘速安排正式版本更新；暫行設定不得視為漏洞已完成修補。
三、參考資料
- https://nvd.nist.gov/vuln/detail/CVE-2026-109618
- https://nvd.nist.gov/vuln/detail/CVE-2026-109619
- https://www.php.net/archive/2026.php#2026-10-20-1
- https://www.php.net/downloads.php
