2026 年 10 月 21 日，PHP 官方（php.net）發布了一則等級為「嚴重」的資安公告：PHP 核心被發現兩個PHP 遠端程式碼執行漏洞（RCE，Remote Code Execution），編號 CVE-2026-109618 與 CVE-2026-109619。官方的說法很直接——攻擊者不需要登入，就有機會透過網路請求在主機上執行任意程式碼，所有 PHP 使用者都應該「立即更新」。全球超過七成的網站以 PHP 運作，WordPress、WooCommerce 更是建立在 PHP 之上，這代表台灣絕大多數的企業官網與購物網站都在影響範圍內。本文用白話說明這次漏洞是什麼、哪些網站有風險，以及老闆現在該做的事。
這次 PHP 漏洞是什麼？為什麼官方說「嚴重」
PHP 是網站背後負責「運算」的程式語言：訪客點開頁面、送出表單、結帳付款，伺服器都是靠 PHP 處理後再把結果回傳給瀏覽器。這次的兩個漏洞不是出在某個外掛或佈景主題，而是出在PHP 本身的核心，所以不論網站用什麼程式寫成，只要底層是 PHP，就可能受影響。
依官方公告，兩個漏洞的成因分別是：
- CVE-2026-109618（記憶體不足處理錯誤）：PHP 在記憶體不足時中斷處理，請求資料只初始化到一半，後續清理程序卻把這些不完整的資料當成正常資料使用。
- CVE-2026-109619（殘留的全域狀態）：某次請求使用過的內部資料，在記憶體釋放後仍被保留下來；同一個工作程序處理下一個請求時，可能誤用這份「過期」的資料。
用比喻來說，就像餐廳收桌時沒把上一桌的東西清乾淨，下一位客人就有機會動手腳。之所以被列為最高等級，關鍵在三點：不需要帳號密碼、可從網路遠端發動、成功後能直接在主機上執行程式。官方甚至指出，在部分環境中已有實證攻擊手法，可以在網站程式碼都還沒開始執行前就觸發。換句話說，網站本身寫得再嚴謹、密碼設得再複雜，都擋不住這類底層漏洞。
哪些網站受影響？先確認你的 PHP 版本
官方明確表示，所有對外提供網頁服務的 PHP 環境都有風險，包含 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed——也就是市面上幾乎所有主機的常見架構。是否已經安全，取決於你的網站正在使用哪一個 PHP 版本：
| PHP 版本 | 已修補的版本 | 現況 |
|---|---|---|
| PHP 8.5 | 8.5.12 以上 | 官方持續支援，更新即可 |
| PHP 8.4 | 8.4.27 以上 | 官方持續支援，更新即可 |
| PHP 8.3 | 8.3.36 以上 | 官方持續支援，更新即可 |
| PHP 8.2 | 8.2.35 以上 | 2026/12/31 停止安全更新，應規劃升級 |
| PHP 8.1 及更舊 | 官方不再發布 | 高風險，建議儘速升級到 8.3 以上 |
特別要注意的是 PHP 8.1 以前的舊版本。這些版本已經過了官方支援期限，PHP 團隊這次只提供原始碼層級的修補給自行編譯的人參考，一般主機商的套件不一定會跟進。許多 3～5 年前架設、之後就沒人照顧的網站，至今仍跑在 PHP 7.4 或 8.0 上，這類網站是這次最需要優先處理的對象。
不知道自己的網站用哪個版本？如果是 WordPress，可以在後台「工具 → 網站健康狀態 → 資訊 → 伺服器」看到 PHP 版本；若沒有後台權限，請直接詢問主機商或網站維護廠商。
網站被入侵會怎樣？企業不能輕忽的後果
「我們只是小公司官網，駭客應該不會找上門吧？」這是我們最常聽到的想法。但這類漏洞的攻擊幾乎都是自動化大量掃描，程式不會挑公司大小，只會找還沒修補的主機。一旦主機被取得控制權，常見的後果包括：
- 被植入後門與垃圾內容：網站被塞進博弈、成人或藥品頁面，Google 搜尋結果出現大量陌生網址，辛苦累積的 SEO 排名一夕崩盤。
- 客戶資料外洩：會員資料、訂單、聯絡表單內容遭竊取，可能涉及個資法責任與商譽損失。
- 網站被標示為危險：瀏覽器或 Google 顯示「此網站可能有害」警告，訪客直接離開，廣告也可能被停權。
- 主機被拿去做壞事：被當成發送垃圾信、挖礦或攻擊其他網站的跳板，導致網站變慢、IP 被列入黑名單，連公司信箱都寄不出去。
更麻煩的是，「補洞」不等於「沒被打進來過」。如果漏洞公開後網站拖了好幾天才更新，除了升級之外，還需要檢查主機上是否已經被留下後門，否則修補完仍可能被再次利用。
企業主現在該做的 4 件事
1. 確認 PHP 版本並立即更新
官方說得很清楚：更新是唯一完整的解法。請將 PHP 升級到 8.5.12、8.4.27、8.3.36 或 8.2.35 以上。使用 Ubuntu、Debian 等 Linux 發行版或代管面板的主機，主機商通常已提前取得修補，請確認套件已經更新並重新啟動 PHP 服務。
2. 還在用 PHP 8.1 以前？直接規劃升級
舊版本沒有官方修補，與其冒險等待，不如藉這次機會升級到 PHP 8.3 以上。升級前務必先測試佈景主題與外掛相容性，舊的客製程式常在新版 PHP 下出現錯誤，直接切換可能造成網站空白或部分頁面 500 錯誤。
3. 暫時無法更新時，先套用緩解設定
官方提供了幾項降低風險的伺服器設定，例如關閉 session.upload_progress.enabled、調低 post_max_size、在網頁伺服器層限制請求大小等。但官方也強調，這些措施只能降低特定攻擊路徑，不能讓網站變安全，只是爭取時間的權宜之計，最終仍要完成更新。
4. 檢查是否已被入侵，並確認備份可用
更新後，建議檢查近期是否出現陌生的管理員帳號、最近新增或被修改的 PHP 檔案、搜尋結果中的異常網址。同時確認網站有定期備份、且備份存放在主機以外的地方，萬一真的出事才能快速還原。
鵠崙設計如何處理這次 PHP 漏洞
官方公告發布當天，鵠崙設計的維運團隊就完成了所有維護中網站的 PHP 版本盤點，並在漏洞細節公開前，將仍在使用 PHP 8.1 的網站逐站測試相容性、全面升級到仍受官方支援的 PHP 8.3。切換後也逐一巡檢前台頁面，確認網站正常運作，並在各主機修補版套件釋出後，排程更新到官方最新的修補版本。
這正是網站維護的價值：資安事件從來不會預先通知，真正的差別在於出事當天有沒有人能立刻處理。如果你的網站目前沒有固定維護廠商、不確定 PHP 版本，或是多年前架設後就沒有更新過，現在就是檢查的最好時機。
擔心自己的網站也在影響範圍內？歡迎聯絡鵠崙設計，我們可以協助確認 PHP 版本、評估升級相容性，並提供長期的網站維護與資安監控服務。
資料來源：PHP 官方安全公告（php.net，2026 年 10 月 21 日）