PHP 漏洞有哪些影響與風險，網站應如何處置？

依提供的2026年10月報導，兩項重大PHP核心漏洞可能讓攻擊者免登入就在網站伺服器執行任意程式碼，入侵後可能洩露客戶資料並損害搜尋能見度。網站應先確認PHP版本與主機環境，再安裝適用修補；無法立即保護時，可考慮暫時隔離或下線。防火牆不能取代修補，更新後也仍須檢查是否已有入侵。

風險在PHP核心，不只在網站外掛

材料指出，CVE-2026-109618與CVE-2026-109619屬於釋放後使用記憶體漏洞，攻擊者可能透過特製的multipart/form-data請求觸發，且已有概念驗證程式出現。這不只是網站功能故障，而是可能讓未經授權者在伺服器上執行程式。

依報導轉述的PHP說明，所有處理網站請求的PHP安裝都有風險，其中Apache使用mod_php的環境風險最高；已展示的攻擊甚至能在網站自身程式碼啟動前執行。因此，不能只檢查外掛，也不能因未使用mod_php就認定安全。

確認版本後，請主機商處理PHP修補

WordPress、Drupal、Joomla及Magento等系統常使用PHP，應納入盤點。WordPress可從「工具＞網站狀態＞資訊＞伺服器」查看PHP版本；其他系統則須依實際環境確認。

• 2026年10月21日報導列出的修復版本為PHP 8.5.12、8.4.27、8.3.36及8.2.35；採用供應商更新時，須確認包含兩項修補。
• 更新WordPress或外掛不會更新PHP。應請主機商安裝修補；即使控制台允許自行切換版本，也要確認所選版本已修復。
• 依該報導，PHP 8.1及更舊版本已停止定期官方支援，應先備份並安排升級。針對7.4、8.0及8.1提供的有限原始碼修補，不代表恢復持續支援。

無法立即修補時，評估隔離與維護頁

報導轉述PHP的說法是，沒有能完全解決這兩項漏洞的替代措施。網站應用程式防火牆可能擋下部分攻擊，但不能視為修補完成；若攻擊者能直接連到來源伺服器，就可能繞過檢查，因此所有流量都須經過防火牆。

若仍無法立即保護網站，可與主機商討論暫時隔離或下線。下線修補時，可由網頁伺服器或CDN提供HTTP 503維護頁，表示服務暫時中斷，且不必依賴PHP。這是風險處置選項，不代表所有使用PHP的網站都必須停站。

修補完成，不等於已清除入侵

修補只有安裝後才提供保護，也不會移除既有入侵。後續應檢查網頁後門、不熟悉的管理員帳號，以及非預期的PHP檔案變更。例如，發現陌生管理員帳號時，不能僅因版本已更新就略過調查。網站團隊也應監控可疑活動，並事先與主機商約定緊急修補及無法保護時下線的責任。