PHP 於 10 月 21 日發布 8.5.12、8.4.27、8.3.36 與 8.2.35 版本，以修補 CVE-2026-109618 與 CVE-2026-109619，這兩個漏洞評分皆為 9.2 分（滿分 10 分），允許未經驗證的遠端程式碼執行。

在技術細節提前外洩後，芬蘭、荷蘭與法國為求慎重而將政府網站下線。Cloudflare 也在修補程式發布前數小時通報了攻擊。美國國家安全局（NSA）建議使用 PHP 的組織關閉其網站，澳洲、日本與英國的機構也發布了類似指引。

大多數網路使用者無需安裝任何東西。套用修補的責任落在網站營運者、主機公司以及維護 PHP 伺服器的組織。PHP 8.1 及更舊版本不會收到正式的例行更新，但鑑於此問題的嚴重性，PHP 資安團隊仍為部分較舊版本發布了有限的原始碼修補。

根據 W3Techs，PHP 支撐約 70% 已知伺服器端語言的網站。這種程式語言運行於伺服器上，負責儲存網站並產生訪客請求的頁面。例如，根據 WordPress 資安公司 Wordfence，WordPress 網站通常依賴 PHP 伺服器。

這兩個漏洞可讓攻擊者在無需登入的情況下於 PHP 伺服器上執行指令。此類缺陷稱為未經驗證的遠端程式碼執行。視伺服器及其儲存的資料而定，成功的攻擊可能導致帳戶資訊、地址、訂單紀錄或其他敏感資料外洩。

主機服務商 GoDaddy 警告，這些漏洞可能讓攻擊者竊取資料、竄改網站，或完全控制受影響的伺服器。

GoDaddy 在其安全更新中表示：「這類漏洞可讓攻擊者透過網路在受影響的伺服器上執行自己的程式碼，進而導致資料被竊、網站被竄改或伺服器被完全接管。」

PHP 的安全公告

資助 PHP 開發的非營利組織 PHP Foundation 於 10 月 20 日出預先警告。它在 X 上分享的聲明中表示：

「PHP 資安團隊預先通知：即將於 2026 年 10 月 21 日星期三 14:00 UTC 發布安全更新，包含兩個關鍵漏洞，均評為 CVSSv4 9.2。建議 PHP 使用者準備更新。若細節公開或出現實際攻擊證據，將提前發布。」

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence. — The PHP Foundation (@ThePHPF) October 20, 2026

通用漏洞評分系統（CVSS）根據漏洞透過網路被利用的難易度與潛在影響等因素，以 0 到 10 分為漏洞評分。9.0 分以上被歸類為關鍵等級。

PHP 於 10 月 21 日約 13:35 UTC 發布修補，比公告時間提前約 25 分鐘。安全公告指出：「強烈建議所有 PHP 使用者立即更新。」在漏洞資訊開始公開流傳並出現攻擊證據後，發布時程提前了一天。

漏洞的運作方式

CVE-2026-109618 發生在 PHP 處理請求時記憶體耗盡，之後將部分建構的資料視為完整資料。CVE-2026-109619 則允許某位訪客請求的殘留資料在應被捨棄後仍留在記憶體中，使後續請求得以與這些殘留資料互動。

風險最高的是使用 mod_php（一種常見的 Apache 設定）的伺服器。PHP 表示，已示範的攻擊可在「任何應用程式程式碼執行之前」運作，意味著網站自身的防禦機制——例如登入畫面與 WordPress 資安外掛——可能沒有介入的機會。

PHP Foundation 的研究人員指出，PHP 的上傳進度（upload-progress）功能是已確認的入侵途徑之一。該功能用於追蹤檔案上傳進度，預設啟用已超過十年，但實際使用它的網站並不多。

更多技術資訊可參閱 PHP 安全存檔、watchTowr 分析，以及 CVE-2026-109619 的 NVD 條目。PHP 的文件也說明了相關的 session 設定。

細節在修補發布前外洩

原本預期在排定的發布時間之前不會有揭露資訊。週二，有使用者在 Hacker News 論壇發文稱兩個 PHP 漏洞將於週四揭露，同時承認該說法「除了『消息來源：相信我，兄弟』之外沒有任何證據」。該貼文可見[此處](

資安公司 watchTowr 隨後確認這些漏洞屬實，並受 embargo（保密協議）約束——即在修補就緒前對技術細節保密的協議。PHP 因此加速了發布。

Cloudflare 技術長 Dane Knecht 週三一早在 X 上表示攻擊已經開始，距修補程式發布約六小時。Cloudflare 向所有客戶（包括免費方案用戶）部署了緊急網頁應用程式防火牆規則，但 Knecht 稱這些規則僅是臨時措施。

「PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. We are seeing early attacks emerging and are updating mitigations as new vectors show… — Dane Knecht 🦭 (@dok2001) October 21, 2026」

原始貼文也可從 Dane Knecht 的 X 帳號查看。

各國政府將網站下線

根據公共廣播機構 Yle 報導，芬蘭國家 IT 中心 Valtori 為求慎重，開始將公共網路服務下線。荷蘭國家網路安全機構也將其網站下架。

法國內政部表示，其省府網站已「在框架發布商釋出安全修補之前暫時下線」。

歐盟網路緊急應變團隊 CERT-EU 建議無法立即修補的組織「考慮將對外服務的應用程式與公共網路隔離，直到修補可用為止」。

據路透社報導，澳洲、日本與英國的機構也發布了類似指引。路透社報導並指出，在營運者準備安裝修補期間，網站可能需要下線。

有關受影響 PHP 版本的說法

X 上流傳的貼文聲稱可追溯到 2004 年的 PHP 版本都受影響。此說法源自早期估計——即 PHP 5 之後的所有版本都受影響——而 CERT-EU 承認該評估是基於社群媒體貼文。

電子商務資安公司 Sansec 估計受影響範圍為 PHP 5.4 及之後版本，即追溯到 2012 年而非 2004 年。PHP 官方僅為 8.2 及更新版本提供正式更新。不過，鑑於這些漏洞的嚴重性，資安團隊也為 PHP 7.4、8.0 與 8.1 發布了基本的原始碼修補，而各 Linux 發行版也開始獨立移植修正。

資安公司 Mallory 統計，10 月 20 日約有 884,000 個對外服務的主機宣稱運行 PHP 8.1 或更舊版本，佔公開顯示 PHP 版本的約 150 萬個主機中的 59%。由於單一共享主機伺服器可承載多個網站，受影響的網站數量更高。Mallory 的研究可見此處，Sansec 的分析可見此處。

部分網路貼文也將 Node.js 納入討論。Node.js 是另一種網路技術，只是碰巧在同一天排定了自身無關的安全更新。

PHP Foundation 警告，修補版本不會同時在所有地方提供。它在聲明中表示：「如果你依賴志工維護的 Red Hat 系 Linux 伺服器提供 PHP 套件、由志工運作的熱門來源。該套件儲存庫位於

對網站與數位資產的潛在影響

一個被入侵的網站不需要直接與區塊鏈互動，就可能使使用者的數位資產面臨風險。2024 年，攻擊者將 DeFi 協議 Compound 與 Celer 的前端重新導向至旨在清空已連接錢包的頁面。Curve Finance 在 2025 年也遭遇類似攻擊。這些事件涉及 DNS 劫持而非 PHP 漏洞，但對訪客而言結果可能看起來相似：網站與網址看似正常，而核准操作卻將代幣送往其他地方。

被入侵的 PHP 伺服器可能被用來提供此類詐騙頁面。創業家 @levelsio 也在 X 上討論了脆弱網路基礎設施與加密貨幣竊盜之間的關聯，表示他在等待修補期間已將其網站與虛擬私人伺服器斷線。

「I pre-emptively disconnected ALL my sites / VPS servers from the web I'll wait for the patch to hit at 2 PM UTC If you have a PHP website, probably good to take them down until you patch PHP 69.3% of the web runs on PHP so this is going to be intense! Good time maybe to buy… — @levelsio (@levelsio) October 21, 2026」

該貼文也可在 X 上查看。Decrypt 先前關於 Compound 與 Celer 事件以及 Curve 攻擊的報導可見此處與此處。

這些漏洞出現之際，前沿人工智慧模型正被越來越多地用於發現軟體缺陷。專家於 6 月告訴 Decrypt，此類工具的普及可能導致更多漏洞被發現。Decrypt 的報導可見此處。

網站營運者該怎麼做

一旦修補程式公開，攻擊者可以比較易受攻擊與已修補的程式碼來確定修改內容。Sansec 的鑑識團隊表示，預期「發布後 15 分鐘內就會開始大規模攻擊」。當 2024 年 6 月另一個 PHP 漏洞被揭露時，Akamai 在 24 小時內就錄得針對其誘餌伺服器的攻擊嘗試。Akamai 的分析可見此處。

手機、瀏覽器與個人筆電不需要 PHP 更新。這項工作落在營運網站與伺服器的組織身上。網站擁有者應向其主機供應商確認 PHP 是否已更新，並確認由誰負責維護伺服器。

Wordfence 警告，WordPress 自動更新不會套用此修補。因此網站擁有者需要確認 PHP 本身已被修補，而不是假設更新 WordPress 就能解決問題。

PHP 核心開發者 Gina Peter Banyard 在 Mastodon 上表示：「我唯一能說的是，唯一的緩解措施就是修補／升級 PHP」，並補充說：「很遺憾我知道得太多了。」該貼文可見此處。

運行 PHP 8.1 或更舊版本的組織需要規劃升級，因為這些版本不會收到正式例行更新。PHP 8.2 使用者也面臨日益臨近的期限：PHP 8.2 將於 2026 年 12 月 31 日終止支援，之後將不再收到安全修補。