-
9.2 分：PHP 官方預告修補的兩個漏洞 CVSS v4.0 嚴重程度評分，屬於重大等級。
-
10 分：提前外流消息中宣稱的兩個 RCE 漏洞評分，影響 PHP 5 以上所有版本。
-
69.3%：全球約有近七成網站使用 PHP，是漏洞影響範圍巨大的主因。
-
15 分鐘：資安公司 Sansec 推測，正式公告發布後 15 分鐘內就可能出現大規模攻擊活動。
-
22 時：PHP 安全性更新預計於台灣時間今晚 10 點發布，網站管理者應立即套用。
PHP 開發團隊 10 月 20 日發布公告，將於世界協調時間 21 日下午 2 點（台灣時間今晚 10 點）發布重要安全性更新，修補兩個 CVSS v4.0 嚴重程度達到 9.2 分的重大漏洞，並呼籲所有用戶提前準備，以便更新一推出就立即套用。然而，漏洞相關資訊已經提前外流，令資安圈擔憂接下來可能引發的漏洞利用行為。
PHP 的安全性受到各界高度關注，主因在於這個程式語言被網站與網頁應用程式大量採用。根據 W3Techs 網站的統計資料，目前全球約有近七成網站（69.3%）使用 PHP，加上 WordPress、Drupal、Joomla、Magento 等許多常見的內容管理系統與電商平台都是以 PHP 打造而成，一旦出現重大漏洞，影響範圍相當廣泛。
漏洞消息的曝光，最早源自網路論壇 Hacker News 上的一篇貼文。發文者聲稱透過可靠的消息來源得知，PHP 開發團隊即將公布兩個 CVSS 評分達到滿分 10 分的遠端程式碼執行（RCE）漏洞，影響 PHP 5 以上的所有版本，漏洞編號是 CVE-2026-109618、CVE-2026-109619。
上述漏洞消息的真實性，隨後得到威脅情報公司 watchTowr 的確認。該公司表示，這兩個提前曝光的弱點的確存在，都是 RCE 漏洞，呼籲用戶嚴肅看待相關資訊，並在修補程式出現後立即套用。
後續有其他研究人員與資安機構跟進，透露了更多資訊。Nextron Systems 研究員 Florian Roth 透露，其中一個 RCE 漏洞存在於 PHP 核心，CVSS 評分達到 10 分。歐盟的 CERT-EU 也針對此事發出警告，透露 PHP 公告中提及的兩個漏洞，就是網路上流傳的 CVE-2026-109618 與 CVE-2026-109619。
漏洞消息走漏的連帶效應，是相關的漏洞詳細資訊與利用工具可能提前出現。資安公司 Sansec 表示，已有疑似 AI 資安公司 Calif.IO 打造的漏洞利用工具 PHP2Shell 出現，號稱能在 PHP 5.4.0 以上版本運作，針對的正是 CVE-2026-109618 與 CVE-2026-109619——這也是兩個漏洞被統稱為 PHP2Shell 的由來。
Sansec 推測，在 PHP 發布正式漏洞公告後的 15 分鐘內，就有可能出現大規模攻擊活動。威脅情報公司 Huntress 也掌握了有人得知漏洞細節並成功利用的情況，因為他們曾在網路上看到 PHP2Shell 的概念驗證（PoC）影片（現已下架）。
資安專家 Kevin Beaumont 則警告，有研究人員疑似根據 PHP 開發團隊在 GitHub 提交的內容，利用大型語言模型生成漏洞細節資訊並公布。這意味著即使官方尚未正式公告，攻擊者也可能透過公開的程式碼提交紀錄拼湊出漏洞全貌。
對網站管理者來說，接下來的行動清單相當明確：台灣時間今晚 10 點安全性更新發布後，應立即套用修補程式；同時檢查伺服器是否有異常存取紀錄，因為在修補空窗期，攻擊者可能已經開始掃描。
值得關注的是，這起事件也凸顯了開源專案在漏洞揭露流程上的兩難：一方面要讓用戶提前準備，另一方面預告本身就可能成為攻擊者的情報來源。PHP 開發團隊選擇提前一天公告、呼籲用戶待命，是相對負責的做法，但消息走漏讓這場攻防提前開打。
接下來的關鍵時間點是今晚 10 點的正式更新，以及公告後第一個小時的攻擊動態。使用 PHP 架站的企業與個人站長，今晚最好把更新排進待辦清單的第一位。
