PHP兩項重大資安漏洞引發全球關注！廣泛應用於網站與網頁服務的PHP，傳出兩項可能導致遠端程式碼執行（RCE）的重大漏洞，編號分別為CVE-2026-109618及CVE-2026-109619，嚴重度評分（CVSS v4.0）均達9.2分。由於相關資訊在官方預定公開前提前流出，PHP團隊宣布將於台灣時間今（21）日晚間10時發布安全性更新。對此，有資深工程師點出本次PHP爆發資安漏洞更新時主要帶來的「3大影響」，網路上更將展開關鍵的15分鐘攻防戰，其中就包含用戶個資外洩。歐盟及澳洲的資安機構都呼籲網站管理者預先盤點系統、準備更新，若無法及時修補，應考慮先隔離網站或暫停受影響的對外服務。
PHP漏洞恐引發3大影響！工程師示警：關鍵15分鐘攻防戰
日本資安工程師三日前（X@expokun）今（21）日晚間發文示警，指出這次PHP漏洞不只是一般的網站故障問題，並根據過往攻擊案例，提出資料外洩、服務中斷及勒索軟體感染等3種可能的風險。
第一，資料庫遭大量竊取：若攻擊者成功利用遠端程式碼執行漏洞，可能在受害伺服器上執行惡意指令，進一步存取後端資料庫，導致使用者姓名、電子郵件地址、密碼及交易紀錄等敏感資訊面臨外洩風險。
第二，伺服器緊急停機服務中斷：當管理員或主機服務商發現異常活動，可能為了避免損害擴大而限制連線，甚至暫時關閉服務，導致購物網站、預約系統或企業網站無法正常運作。
第三，勒索軟體感染及遭利用為攻擊跳板：若攻擊者取得伺服器控制權，可能進一步加密檔案、勒索贖金，或利用遭入侵的主機對其他系統發動攻擊。
三日前也提醒，不能認為只要等到PHP公布修補程式發布後再處理就好。因為攻擊者早就準備好在安全性更新完成之後，迅速利用AI開發工具竊取資料，今晚網路上將展開一場「15分鐘極限資安攻防戰」，呼籲網站管理者應提前做好應變準備。
三日前補充，資安風險恐在PHP官方修補程式公開之後升高，因為攻擊者可能利用AI工具快速分析修補程式的差異，找出先前漏洞所在，並以此開發攻擊工具，對尚未完成更新的網站發動自動化攻擊，展開攻擊的前後時間可能只需要15分鐘，「安全性更新釋出後的幾個小時反而是攻擊最多的時候」。
他也提到，這不只是工程師需要關注的問題，因為PHP廣泛應用於線上購物、訂位平台及企業系統，一旦網站遭到入侵，除了可能造成服務中斷，若攻擊者進一步取得資料庫存取權限，使用者的姓名、地址、信用卡資訊及密碼等個人資料，也可能面臨外洩風險。
多國資安機構示警PHP漏洞！無法即時更新應考慮隔離服務
根據網路搜尋引擎資料庫Shodan顯示，全球有多達302萬5825個網站有使用到PHP語言，光美國就有74萬9千多個網站使用，第二多則是中國29萬5千個網站，第三名日本則有19萬2千多個。
對此，歐盟網路安全服務機構（CERT-EU）於20日發布安全建議指出，這兩項漏洞的CVSS v4.0評分均為9.2分，存在未經身分驗證便可能從遠端執行程式碼的風險。該機構建議各組織事先盤點使用PHP的系統，並在修補程式發布後立即更新；若無法及時完成修補，應考慮將對外連線的受影響應用程式與公共網路隔離。
澳洲網路安全中心（ACSC）也提出類似建議，呼籲企業及系統管理者盤點環境中的PHP應用程式、密切追蹤官方更新，並監控可疑活動。不過，該中心當時表示，尚未掌握與這兩項漏洞相關的活躍攻擊。
Cloudflare已觀測到初期攻擊！技術長呼籲即刻更新
除了社群平台上的警告，資安業者也傳出相關攻擊活動的訊息，Cloudflare技術長Dane Knecht（X@Dane Knecht）表示，他們已觀測到與此次漏洞相關的早期攻擊跡象，他們也部署了初步的 WAF 規則集。這些更新適用於所有客戶，包括免費方案。
Dane Knecht也表示，Cloudflare能做的只是應急措施，仍呼籲網站管理者們在PHP團隊發布安全性更新之後立即進行更新。
▲Cloudflare技術長Dane Knecht表示，他們已觀測到與此次漏洞相關的早期攻擊跡象，也做出初步預防措施，同時呼籲網站所有者在釋出PHP更新之後立即跟進。（圖／X@Dane Knecht）
PHP爆漏洞！網站管理者、一般使用者該怎麼做
對網站及伺服器管理者而言，應立即聯繫維護人員或基礎設施工程師，確認PHP版本、修補程式供應情況及更新時程。若短時間內無法完成修補，可依照資安機構的建議，可以先考慮限制外部連線或暫停受影響服務，降低遭到攻擊的風險。
一般使用者則可留意常用網站及服務的官方公告，若服務因安全維護而暫時停止，不代表個人資料必然已經外洩，仍須以業者後續說明為準。
我是廣告 請繼續往下閱讀
日本資安工程師三日前（X@expokun）今（21）日晚間發文示警，指出這次PHP漏洞不只是一般的網站故障問題，並根據過往攻擊案例，提出資料外洩、服務中斷及勒索軟體感染等3種可能的風險。
第一，資料庫遭大量竊取：若攻擊者成功利用遠端程式碼執行漏洞，可能在受害伺服器上執行惡意指令，進一步存取後端資料庫，導致使用者姓名、電子郵件地址、密碼及交易紀錄等敏感資訊面臨外洩風險。
第二，伺服器緊急停機服務中斷：當管理員或主機服務商發現異常活動，可能為了避免損害擴大而限制連線，甚至暫時關閉服務，導致購物網站、預約系統或企業網站無法正常運作。
第三，勒索軟體感染及遭利用為攻擊跳板：若攻擊者取得伺服器控制權，可能進一步加密檔案、勒索贖金，或利用遭入侵的主機對其他系統發動攻擊。
三日前也提醒，不能認為只要等到PHP公布修補程式發布後再處理就好。因為攻擊者早就準備好在安全性更新完成之後，迅速利用AI開發工具竊取資料，今晚網路上將展開一場「15分鐘極限資安攻防戰」，呼籲網站管理者應提前做好應變準備。
三日前補充，資安風險恐在PHP官方修補程式公開之後升高，因為攻擊者可能利用AI工具快速分析修補程式的差異，找出先前漏洞所在，並以此開發攻擊工具，對尚未完成更新的網站發動自動化攻擊，展開攻擊的前後時間可能只需要15分鐘，「安全性更新釋出後的幾個小時反而是攻擊最多的時候」。
他也提到，這不只是工程師需要關注的問題，因為PHP廣泛應用於線上購物、訂位平台及企業系統，一旦網站遭到入侵，除了可能造成服務中斷，若攻擊者進一步取得資料庫存取權限，使用者的姓名、地址、信用卡資訊及密碼等個人資料，也可能面臨外洩風險。
多國資安機構示警PHP漏洞！無法即時更新應考慮隔離服務
根據網路搜尋引擎資料庫Shodan顯示，全球有多達302萬5825個網站有使用到PHP語言，光美國就有74萬9千多個網站使用，第二多則是中國29萬5千個網站，第三名日本則有19萬2千多個。
對此，歐盟網路安全服務機構（CERT-EU）於20日發布安全建議指出，這兩項漏洞的CVSS v4.0評分均為9.2分，存在未經身分驗證便可能從遠端執行程式碼的風險。該機構建議各組織事先盤點使用PHP的系統，並在修補程式發布後立即更新；若無法及時完成修補，應考慮將對外連線的受影響應用程式與公共網路隔離。
澳洲網路安全中心（ACSC）也提出類似建議，呼籲企業及系統管理者盤點環境中的PHP應用程式、密切追蹤官方更新，並監控可疑活動。不過，該中心當時表示，尚未掌握與這兩項漏洞相關的活躍攻擊。
Cloudflare已觀測到初期攻擊！技術長呼籲即刻更新
除了社群平台上的警告，資安業者也傳出相關攻擊活動的訊息，Cloudflare技術長Dane Knecht（X@Dane Knecht）表示，他們已觀測到與此次漏洞相關的早期攻擊跡象，他們也部署了初步的 WAF 規則集。這些更新適用於所有客戶，包括免費方案。
Dane Knecht也表示，Cloudflare能做的只是應急措施，仍呼籲網站管理者們在PHP團隊發布安全性更新之後立即進行更新。
對網站及伺服器管理者而言，應立即聯繫維護人員或基礎設施工程師，確認PHP版本、修補程式供應情況及更新時程。若短時間內無法完成修補，可依照資安機構的建議，可以先考慮限制外部連線或暫停受影響服務，降低遭到攻擊的風險。
一般使用者則可留意常用網站及服務的官方公告，若服務因安全維護而暫時停止，不代表個人資料必然已經外洩，仍須以業者後續說明為準。