PHP 爆兩項重大漏洞：官方緊急修補，WordPress 網站管理者應檢查什麼？

事件日期：2026 年 10 月 21 日。資料查核日期：2026 年 10 月 22 日（台灣時間）。首次發布：2026 年 10 月 22 日（台灣時間）。發布單位：天地人文創。

PHP 官方於 2026 年 10 月 21 日發布四個安全更新版本，修補 CVE-2026-109618 與 CVE-2026-109619 兩項重大漏洞。依據官方公告，兩者在特定條件下都可能讓未經身分驗證的攻擊者，透過網路請求在伺服器執行程式碼。官方呼籲使用 PHP 的組織立即更新，並明確指出目前沒有完整的設定替代方案；修補 PHP 執行環境才是可靠的處置方式。

消息之所以值得 WordPress、Laravel、phpMyAdmin 與其他 PHP 系統管理者注意，不是因為這些產品同時出現新的獨立漏洞，而是它們可能依賴同一層 PHP 執行環境。對企業而言，真正需要清點的是每一個網站、應用程式與背景服務正在使用哪個 PHP 版本、由誰負責維護，以及更新後是否已由實際承載請求的工作程序載入。WordPress 官方也已於 10 月 21 日發布獨立提醒，說明本事件並非 WordPress 核心漏洞，亦無需為此另外發布 WordPress 修補版本。

兩個 CVE 究竟代表什麼？

第一項 CVE-2026-109618 與 PHP 記憶體不足（Out of Memory，OOM）處理有關。當請求在某些初始化階段耗盡記憶體，程式可能留下尚未完整初始化的內部資料；隨後在請求清理時，又將這些無效資料視為可使用的內容。PHP 上游發布的安全公告記載，研究人員已在 Apache mod_php 的預設組態，示範未登入請求於應用程式程式碼尚未執行前即可觸發攻擊。這也是官方認為 mod_php 情境風險特別高的原因。

第二項 CVE-2026-109619 涉及跨請求殘留的內部狀態。原本應在一個請求結束後清除的狀態，可能仍指向已釋放的記憶體；當同一工作程序處理後續請求，便可能重新使用該狀態。官方安全資料對其列出記憶體錯誤、程序異常以及特定環境下的遠端程式碼執行風險。兩項漏洞都屬 PHP 核心執行環境問題，與一般透過 WordPress 外掛或網站管理者帳號遭竊的攻擊型態不同。

兩項漏洞的嚴重程度均為 CVSS v4.0 9.2 分。這個評分代表潛在影響重大，不代表所有使用 PHP 的網站都已被入侵，也不表示任何部署環境都能用相同方式穩定利用。研究所展示的條件、前端代理、PHP SAPI、應用程式錯誤路徑、記憶體配置與主機防護都會影響實際風險。企業不應因為尚未看到可疑流量而延後升級，也不宜宣稱所有 PHP 網站都已遭入侵。

已經發布哪些修補版本？

PHP 專案在 10 月 21 日釋出 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。以下表格是依 PHP 官方釋出資訊重新整理的版本對照，應以部署平台的供應商安全公告為準，因為部分 Linux 發行版會將修補回補（backport）到原本的版本號，而不一定直接顯示上述版號。

PHP 官方最新公告另補充：考量本次漏洞嚴重性，安全團隊為 PHP 7.4、8.0、8.1 提供最小原始碼回補，協助自行編譯或無法取得長期支援供應商套件的使用者。這不代表上述分支恢復常態安全支援，也不等於所有舊版部署已經安全；仍須核對供應商公告或由維護團隊驗證回補與重新部署結果。

PHP 官方提醒，PHP 8.2 將於 2026 年 12 月 31 日結束官方安全支援。這意味著企業即使在本次事件完成 8.2.35 更新，也應另列出下一階段的升級計畫，不能將一次緊急修補當成長期維護策略。

WordPress、Laravel、phpMyAdmin、cPanel 都需要各自升級嗎？

首先必須區分「網站應用程式版本」與「PHP 執行環境版本」。WordPress、Laravel 與 phpMyAdmin 使用 PHP 技術，但是否有風險，取決於其實際執行的 PHP 版本、佈署方式與補丁狀態。更新 WordPress 核心、外掛或 Laravel 套件，不能取代更新主機上的 PHP。WordPress 官方甚至明確表示，這次事件不需要另行發布 WordPress 核心修補版；網站管理者仍應維持原有的外掛與核心安全更新程序，但兩者是不同的工作。

至於 cPanel／WHM，則是管理主機與套件的控制平台，不應直接將它與 PHP 語言本身混為一談。cPanel 官方已針對相關受影響服務列出產品修補版本，亦提供 EasyApache 套件的處理路徑；實際版本和更新狀態應依各主機供應商公告及主機內安裝的套件核實。使用托管式 WordPress 主機、Cloudways 或其他平台的企業，應先詢問供應商目前的 PHP 執行版本、修補包是否部署完成、既有工作程序是否重啟，以及是否有網站功能回歸測試紀錄。不能只因控制面板顯示「已是最新 WordPress」就推定事件結束。

對大型組織而言，真正困難的可能不是取得更新檔，而是資產盤點。主站、測試站、舊活動頁、內部後台、獨立 API、容器映像與排程執行器未必運作在相同的 PHP 分支。有些服務已經由主機商自動更新，有些則使用自訂套件或仍留在不受支援版本。因此，單靠官網首頁正常開啟，無法證明整體系統已修補。

網站管理者現在應該怎麼做？

最優先的工作是確認所有對外提供服務的 PHP 應用環境。若可以登入 WordPress 後台，可循「工具 → 網站健康狀態 → 資訊 → 伺服器」查詢網站使用的 PHP 版本。能操作主機的工程人員也可以透過 php -v 查詢命令列版本，但這只能代表該 CLI 所使用的 PHP，不一定與網站實際由 PHP-FPM、Apache 或其他 Web SAPI 執行的版本相同。對同機多版本 PHP 或容器化部署，更要個別確認。

確認版本後，應先做好網站檔案、資料庫與伺服器設定的可還原備份，檢查外掛、主題及自訂程式相容性，並依主機商或 Linux 發行版的正式安全更新管道套用修補。更新完成後須重新載入相關 PHP 工作程序，確認 Web 端版本與生效套件，再驗收登入、購物車、結帳、表單、API、排程、郵件與管理後台等關鍵流程。對商業網站而言，安全補丁是必要條件，驗收則是確保營運不中斷的必要程序。

如果因技術或相容性原因暫時無法更新，PHP 官方安全公告雖提出調整記憶體及請求限制等降低部分攻擊面的作法，但同時警告這些都不是完整緩解。特別是把 memory_limit 改為 -1，涉及資源耗盡和可用性風險，不能當作通用、安全、可直接套用的「一鍵修補」。調整 php.ini、設置 WAF 或限縮輸入大小，都不能取代修補。若長時間無法消除風險，應依營運重要性評估暫時隔離公開服務，並由資安或主機團隊決定操作順序。

若已觀察到可疑行為，補丁也無法自動排除先前可能發生的入侵。企業須保存存取日誌、異常檔案、工作程序與網路事件紀錄，依事件應變程序調查是否存在未知程式、異常權限或資料存取。安全修補和入侵調查是兩件需要分別完成的工作。

從單次漏洞延伸到企業網站治理

這次事件揭露的管理問題是：企業往往知道「我們使用 WordPress」，卻未必能立即回答「目前在跑的 PHP 是什麼版本、在哪些主機、誰有更新權限、何時完成驗收」。當重大漏洞出現在底層執行環境，單一應用程式的更新列表就不夠用了。維護範圍應從頁面內容、外掛管理，擴展到主機、容器、套件、服務重啟、日誌與廠商責任分工。

對網站營運與資訊管理團隊而言，可以將修補完成的定義改為四項可驗證結果：第一，所有對外服務的 PHP 資產都有盤點與責任人；第二，每個執行環境有官方修補版本或可核對的廠商回補證明；第三，更新後由實際 Web 請求驗證修補已生效；第四，主要營運流程驗收完成且保有回復方案。做到這四件事，比單純公告「已經升級」更能讓管理者掌握真實風險。

後續應觀察什麼？

第一，PHP 專案與發行版／主機商是否再發布補充公告，特別是回補套件的生效範圍。第二，企業是否完成不同 PHP SAPI、測試站及舊系統的盤點。第三，是否有可信資安機構提出經查證的攻擊活動與受害範圍，不能將概念驗證直接寫成大規模實際入侵。第四，PHP 8.2 接近生命週期終點，企業是否把短期修補接上中期升級。

新聞與實務提醒：本報導以官方資料提供風險識別及處置方向，不代表已對任何特定網站完成漏洞掃描或攻擊鑑識。網站實際是否遭入侵、是否已由主機商安全回補，須取得環境證據方能確認。

內容製作說明：本文使用 AI 協助整理與比對官方公開資料，未宣稱已完成具名資安專家審查。

原始資料與官方來源

1. PHP 官方，2026 年 10 月 21 日，Security advisory: Critical remote code execution vulnerabilities，https://www.php.net/archive/2026.php#2026-10-21-5
2. PHP Foundation，2026 年 10 月 21 日，Today's PHP Security Release，https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
3. PHP 上游安全公告，CVE-2026-109618，https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
4. PHP 上游安全公告，CVE-2026-109619，https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
5. WordPress.org，2026 年 10 月 21 日，Critical PHP Security Release，https://wordpress.org/news/2026/10/critical-php-security-release/
6. ENISA，2026 年 10 月 21 日，Joint statement on critical PHP vulnerabilities，https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
7. cPanel，2026 年 10 月 21 日，Critical PHP Security Release，https://support.cpanel.net/hc/en-us/articles/44397389677335-Critical-PHP-Security-Release-CVE-2026-109618-and-CVE-2026-109619
8. Google Cloud，2026 年 10 月 21 日，Responding to core PHP vulnerabilities，https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619