【資安公告】PHP 發現重大安全漏洞，請各單位儘速檢查與更新
各位同仁、師生您好：
近期發現 PHP 程式執行環境存在重大資安漏洞（CVE-2026-109618、CVE-2026-109619），網路上已有漏洞概念驗證程式（PoC）。攻擊者可能透過特製的網頁請求，在未經身分驗證的情況下，對受影響的網站伺服器執行惡意程式，進而造成網站或主機遭入侵的風險。
PHP 是許多網站使用的程式執行環境，包含部分 WordPress、Drupal、Joomla 等網站系統。若網站使用受影響的 PHP 版本，且未及時更新，可能面臨資安威脅。
一、哪些系統需要注意？
以下 PHP 版本屬於本次公告列出的受影響範圍：
-
PHP 5.4 至 5.6
-
PHP 7.0 至 7.4
-
PHP 8.0 至 8.1
-
PHP 8.2.34（含）以前的版本
-
PHP 8.3.35（含）以前的版本
-
PHP 8.4.26（含）以前的版本
-
PHP 8.5.11（含）以前的版本
一般使用者不需要自行安裝或更新 PHP；請由網站管理人員或系統維護廠商確認。
二、各單位應如何處理？
（一）網站及系統管理單位
-
立即盤點自行管理或委外維護的網站，確認是否使用 PHP 及目前版本。
-
受影響系統應儘速更新至官方已修補的安全版本，並確認更新後網站功能正常。
-
若無法立即完成更新，應先評估限制外部連線、暫停對外服務或採取其他有效的隔離措施，降低遭受攻擊的風險。
-
若發現異常連線、網站內容遭竄改或其他疑似入侵情形，請立即依校內資安事件通報程序辦理。
（二）一般教職員及學生
-
請勿自行下載或安裝來路不明的修補程式。
-
如發現校內網站出現異常畫面、遭竄改或無法正常使用，請儘速通知網站管理單位或圖資處。
-
如收到相關資安通知，請依通知內容配合辦理。
三、官方修補版本
請網站管理人員將 PHP 更新至下列版本或更新的受支援安全版本：
-
PHP 8.2.35
-
PHP 8.3.36
-
PHP 8.4.27
-
PHP 8.5.12
PHP 8.1 及更早版本已停止官方一般維護，建議儘速規劃升級至仍受支援的版本。
官方更新資訊與下載網址：
https://www.php.net/downloads.php
四、重要提醒
本次漏洞主要影響使用受影響 PHP 版本的網站及相關伺服器，並非所有個人電腦或校內資訊設備都會受到影響。
請各網站管理單位及委外維護廠商儘速完成檢查與必要處置；如無法立即修補，應先採取適當防護措施，必要時暫停對外服務，以降低資安風險。
參考資料：
-
NVD：CVE-2026-109618
https://nvd.nist.gov/vuln/detail/CVE-2026-109618 -
NVD：CVE-2026-109619
https://nvd.nist.gov/vuln/detail/CVE-2026-109619
窗口:圖資處 網路資安組 張瑋辰 #2655