廣泛應用於網站與電子商務平台的程式語言 PHP，近日被揭露兩項重大資安漏洞，嚴重度評分均高達 9.2 分，漏洞資訊與攻擊程式碼在官方修補程式釋出前便已公開，讓尚未完成更新的網站與網路服務面臨潛在威脅。
全球領先資安公司趨勢科技 (東京證券交易所股票代碼：4704) 旗下全球企業 AI 資安領導品牌 TrendAI™指出，攻擊者可能利用漏洞，在未經身分驗證的情況下遠端執行惡意程式碼，造成資料遭竊、檔案遭竄改或服務中斷。企業應立即盤點 PHP 使用情形，優先修補對外開放的服務，並確認更新實際生效、持續追查入侵跡象，降低資安風險。同時，全球消費者數位生活防護領導品牌 TrendLife™也提出消費者四大防護要點，提醒慎防假更新通知與釣魚連結。
此次漏洞編號為 CVE-2026-109618 與 CVE-2026-109619，嚴重度評分（CVSS v4.0）均達 9.2 分，皆與 PHP 的記憶體管理問題有關，可能讓攻擊者在未經身分驗證的情況下遠端執行惡意程式碼。受影響環境包括 Apache mod_php、PHP-FPM、CGI、FrankenPHP 及 LiteSpeed，其中以 Apache mod_php 風險最高，實際利用條件則依部署環境而異。
只更新WordPress還不夠，TrendAI™籲全面盤點並修補底層PHP
TrendAI™提醒，PHP 除了用於網站，也可能存在於容器映像檔、主機控制面板及設備的網頁管理介面，容易成為資產盤點盲區。由於漏洞位於 PHP 本身，單獨更新 WordPress、Magento 或企業自建應用程式並不足夠，須由實際管理PHP執行環境的團隊或供應商完成修補。
對於 PHP 8.1 及更早版本，企業應確認供應商是否提供回補修正，或規劃升級至受支援版本。部分 Linux 發行版與長期支援供應商會將安全修正套用至舊版套件，因此不能僅憑版本編號判斷修補狀態。PHP 官方強調，企業仍須完成安全更新，才能修補漏洞，調整系統設定僅能暫時降低部分風險，無法取代正式修補。
「先修補、再追查」TrendAI™提出七大行動降低企業風險
面對重大漏洞曝光與攻擊程式碼提前公開的雙重威脅，TrendAI™呼籲企業應以「優先修補、持續追查」原則，並採取以下行動：
1. 全面盤點PHP使用環境：除企業網站外，也應涵蓋容器與建置映像檔、無伺服器函式、開發測試環境，以及內含 PHP 的第三方產品，並記錄版本與安裝來源。
2. 依暴露程度排序：優先處理對外服務，尤其是檔案上傳、管理後台，以及涉及付款和客戶資料的系統。
3. 確認舊版修補來源：針對 PHP 8.1 及更早版本已結束官方支援的版本，應向供應商確認回補更新；若無修補方案，應限制存取、隔離或進行升級。
4. 追蹤委外更新進度：與代管、託管服務及設備供應商確認交付時程，核實套件是否包含安全修正。
5. 完成更新並驗證修補：安排緊急變更與測試，重建映像檔，並重新啟動服務或替換容器，確認更新實際生效。
6. 降低風險暴露：等待修補期間，移除不必要的對外服務，以 VPN 或允許清單限制管理介面，搭配可用的防火牆與入侵防護措施。
7. 先修補、再追查：檢查異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，優先調查修補前持續暴露的系統。
TrendAI Vision One™整合曝險管理與威脅調查，協助企業加速資安應變
面對重大漏洞威脅，企業除了加速修補，更需要掌握資產曝險情形，並持續偵測潛在攻擊跡象。TrendAI Vision One™網路資安曝險管理 (CREM) 可協助企業依資產重要性安排修補與調查順序；Agentic SIEM 與 XDR 中的 XDR Data Explorer 可搜尋可疑端點程序活動。企業亦可透過託管式偵測與回應服務 (MDR) 取得全天候支援，並視需要申請入侵評估或事件應變服務。
民眾也別急著點「請立即更新」TrendLife™提醒慎防假更新通知與釣魚連結
除了企業應立即做出應變對策外，趨勢科技旗下消費性事業群 TrendLife™提醒，目前尚無公開資料顯示詐騙集團已利用此次漏洞行騙，但消費者仍須提高警覺，並做好以下四大防護：
1. 更改密碼：若收到常用網站的通知，確認服務受到此次漏洞影響，請儘速更改密碼，並透過官方 App 或自行儲存的書籤登入，避免點擊不明連結而落入釣魚陷阱。
2. 慎防假冒的詐騙訊息：詐騙集團可能假借網站發生資安事件，透過簡訊或電子郵件要求使用者立即更新、重新登入或驗證帳號。遇到這類訊息，切勿急於點擊連結，應先透過官方網站或客服確認，亦可撥打 165 反詐騙諮詢專線查證。
3. 定期檢查裝置安全：確認手機與電腦上的 App 及防毒軟體皆已更新至最新版本，才能及時修補已知安全漏洞，降低遭惡意網站利用漏洞植入惡意程式的風險。
4. 善用工具強化日常防護：消費者可利用趨勢科技 AI 防詐達人查證可疑訊息與連結、過濾詐騙簡訊並阻擋詐騙來電。此外，手機可搭配趨勢科技行動安全防護，封鎖詐騙網頁與惡意網址，防範惡意程式；筆電與桌機則可使用 PC-cillin 雲端版，結合 AI 防毒、惡意網址阻擋及個資外洩警示，守護裝置與個人資料安全。
趨勢科技強調，面對重大資安漏洞，企業端應把握漏洞曝光後的黃金時間完成盤點、修補及調查，而消費者則應提高防詐意識，切勿因收到緊急更新通知而貿然點擊不明連結。真正需要更新 PHP 的是網站業者，任何要求使用者透過陌生連結「更新漏洞」或「重新登入」的通知，都應先從官方管道查證，避免讓資安事件成為詐騙集團可乘之機。
現在就加入 ioioTIMES 臉書粉絲團 更多互動、更多好康攏抵加!!
我們有LINE TODAY頻道了，快來追踪我們吧!!--最新科技新聞 盡在你手
