- PHP安全團隊於台灣時間21日晚間10時釋出緊急安全更新，一次修補兩項重大漏洞。
- 兩項漏洞編號為CVE-2026-109618與CVE-2026-109619，CVSS嚴重度評分均達9.2分。
- 攻擊者可能在未經身分驗證的情況下，從外部直接執行任意程式碼。
- 資安署呼籲使用PHP的機關、學校及企業，儘速確認版本並完成更新。
- 更新後應檢視系統日誌與異常存取紀錄，確認帳號與憑證是否遭到盜用。
開源伺服器端腳本語言PHP的安全團隊，日前釋出緊急安全更新，一次修補兩項嚴重漏洞。數位發展部資安署在深夜發布新聞稿，呼籲使用PHP的機關、學校及企業儘速確認版本、完成更新，以免系統暴露在攻擊風險之中。
這次修補的兩項漏洞，編號分別為CVE-2026-109618與CVE-2026-109619。兩者的嚴重度評分（CVSS v4.0）都是9.2分，屬於嚴重等級。資安署指出，攻擊者可能在未經身分驗證的情況下，從外部執行任意程式碼。
「未經身分驗證即可從外部執行任意程式碼」意味著攻擊者不需要帳號密碼，就有機會對存在漏洞的伺服器下達指令。這類漏洞一旦被利用，後果可能包括網站被植入惡意程式、資料庫內容被竊取或竄改，甚至整台主機被接管。
PHP安全團隊釋出更新的時間，是台灣時間21日晚間10時。資安署在掌握情資後，隨即透過新聞稿對外示警，提醒各機關與企業把握時間完成應處。
資安署呼籲的對象，涵蓋使用PHP的政府機關、學校及民間企業。由於PHP的應用範圍極廣，這波呼籲等於是對全台灣為數眾多的網站管理者發出動員令。
PHP廣泛用於網站建置、內容管理系統與各類管理介面。許多政府機關的便民服務網站、學校的校務系統，以及企業的官網與內部管理後台，底層都是以PHP寫成。
更值得注意的是，PHP同時是WordPress、Drupal、Joomla、Magento等主要內容管理系統的底層架構。全球有極高比例的網站是透過這些系統架設的，它們的安全狀態直接繫於PHP本身是否及時更新。
資安署特別提醒，部分未明示使用PHP的軟體，內部其實也是以PHP運作。也就是說，即便管理者自認沒有直接使用PHP，也可能在不知情的情況下受到這波漏洞影響，必須全面盤點。
在通報機制方面，資安署表示，掌握情資後已透過資安警訊、國家資安資訊分享與分析中心，以及台灣電腦網路危機處理暨協調中心等管道，通知各機關及企業儘速完成應處。
國家資安資訊分享與分析中心是政府與關鍵基礎設施之間的情資分享平台，台灣電腦網路危機處理暨協調中心則長期協助國內企業處理資安事件。透過這兩個管道發布警訊，代表這次漏洞已被列為需要跨部會、跨產業聯防的層級。
對於實際的修補步驟，資安署建議各單位先盤點所有PHP系統與相關套件，確認目前使用的版本，再依照原廠公告的方式完成修補。版本確認是第一步，因為只有知道自己跑的是哪個版本，才能判斷是否落在受影響範圍內。
完成更新並不是終點。資安署提醒，更新之後還應檢視系統日誌及異常存取紀錄，看看在漏洞空窗期間是否出現可疑活動。如果發現可疑跡象，要進一步確認相關帳號與憑證的安全性，必要時更換密碼或憑證。
這道「更新後檢查」的要求，反映了實務上的無奈：從漏洞被發現、修補程式釋出，到各單位實際完成更新，中間存在時間差。在這段空窗期內，系統可能已經遭到掃描甚至入侵，單純更新並不能清除已經植入的後門。
從影響面來看，這次事件之所以受到高度重視，關鍵在於PHP的普及程度。一個被廣泛使用的底層語言出現嚴重漏洞，代表攻擊者只要寫好一套攻擊程式，就能對全網進行地毯式掃描，尋找尚未修補的目標。
過去類似的開源軟體重大漏洞，都曾引發大規模的自動化攻擊。攻擊者通常會在修補程式釋出後的數小時到數天內，逆向分析修補內容、還原漏洞細節，然後開始掃網。這也是資安署選擇在深夜發布新聞稿、要求「儘速」而非「儘早」的原因。
對一般民眾而言，這波漏洞的直接感受可能不大，但間接風險真實存在。如果常去的網站或使用的線上服務因為PHP漏洞被入侵，儲存在上面的個人資料就可能外洩。民眾能做的，是留意常用服務是否發布異常公告，並保持警覺。
對企業來說，這次事件也是一次體檢：盤點是否清楚掌握自家系統用了哪些開源軟體、版本為何、由誰負責更新。如果連PHP在哪裡運行都說不清楚，代表軟體資產管理的盤點機制出現了缺口。
值得一提的是，這次修補一次處理兩項漏洞，且兩項的嚴重度評分完全相同。這顯示問題可能出在相近的程式碼區域，或是同一波安全審查中被同時發現。無論如何，兩項都達到9.2分，代表沒有「比較不嚴重」的那一項，必須一併處理。
資安署表示，未來將持續掌握PHP相關漏洞及國內外威脅情資，並透過資安警訊與聯防機制，協助各機關即時採取防護措施，降低資安風險。這意味著後續若出現利用這波漏洞的實際攻擊案例，相關警訊會再透過同一套管道發布。
總結來說，這是一起典型的「底層軟體嚴重漏洞」事件：影響範圍廣、攻擊門檻低、修補方式明確。對管理者而言，正確的應對順序是盤點版本、儘速更新、檢查日誌、確認帳號安全，四個步驟缺一不可。
