【漏洞預警】網頁程式語言PHP 存在高風險遠端程式碼執行漏洞，請各單位請儘速確認並採取因應措施。
- 主旨：PHP 近期揭露兩項重大資安漏洞（CVE-2026-109618、CVE-2026-109619），可能遭駭客利用，造成網站遭入侵或系統遭控制，請各單位儘速清查所屬網站及資訊系統，並採取適當因應措施，以維護校園資訊安全。
- 說明：
PHP 開發團隊於 115 年 10 月 21 日發布緊急安全更新，修補兩項重大資安漏洞（CVE-2026-109618、CVE-2026-109619），其 CVSS v4.0 風險評分均為 9.2 分。
上述漏洞可能遭攻擊者於未經身分驗證的情況下，從遠端執行任意程式碼，進而影響網站及伺服器安全。由於 PHP 廣泛應用於各類網站及資訊系統，且相關漏洞資訊已公開，請各單位提高警覺，儘速進行安全檢查與修補。
- 影響平台：
使用 PHP 建置或執行之網站及資訊系統，包括 WordPress、Drupal、Joomla、Magento 等內容管理系統，以及各類使用 PHP 開發之網頁應用程式。
PHP 官方已釋出下列安全修補版本：
PHP 8.5：8.5.12
PHP 8.4：8.4.27
PHP 8.3：8.3.36
PHP 8.2：8.2.35
PHP 8.1（含）以下版本已停止由 PHP 官方提供安全更新，建議儘速升級至受支援版本。如使用作業系統發行商或維護廠商提供之 PHP 套件，請確認是否已套用相應安全修補程式。
- 建議措施：
清查受影響系統： 請各單位確認所屬網站及資訊系統是否使用 PHP，並檢查目前使用版本；如為委外建置或維護之系統，請主動聯繫廠商協助確認是否受本次漏洞影響及修補情形。
儘速完成安全更新： 請依 PHP 官方公告更新至安全版本；如無法立即修補，建議暫時停止對外服務，或限制僅供校內網路或單位內部網路存取，並完成重要資料備份，以降低資安風險。
加強監控與異常通報： 請留意系統運作及存取紀錄，如發現疑似遭受攻擊或入侵情形，應立即依本校資安事件通報程序辦理。
- 參考資料：
數位發展部資通安全署－網站開發程式語言 PHP 釋出緊急安全更新，資安署呼籲儘速完成修補
https://moda.gov.tw/ACS/press/news/press/21134
iThome－多家資安公司警告 PHP 零時差漏洞風暴即將來襲，預告修補的重大漏洞已經曝光
https://www.ithome.com.tw/news/179861
Server Plus－PHP2Shell 重大資安預警：PHP 預告 CVSS 9.2 修補，企業應立即盤點
https://serverplus.tw/insights/php2shell-critical-security-alert-update-preparation
PHP 官方網站－重大遠端程式碼執行漏洞安全公告與修補版本資訊
https://www.php.net/archive/2026.php#2026-10-21-5
