記者陳建興／台北報導
廣泛應用於網站與電子商務平台的程式語言PHP，近日被揭露兩項重大資安漏洞，嚴重度評分均高達9.2分，漏洞資訊與攻擊程式碼在官方修補程式釋出前便已公開，讓尚未完成更新的網站與網路服務面臨潛在威脅。
全球領先資安公司趨勢科技(東京證券交易所股票代碼：4704)旗下全球企業AI資安領導品牌TrendAI™指出，攻擊者可能利用漏洞，在未經身分驗證的情況下遠端執行惡意程式碼，造成資料遭竊、檔案遭竄改或服務中斷。企業應立即盤點PHP使用情形，優先修補對外開放的服務，並確認更新實際生效、持續追查入侵跡象，降低資安風險。同時，全球消費者數位生活防護領導品牌TrendLife™也提出消費者四大防護要點，提醒慎防假更新通知與釣魚連結。
此次漏洞編號為CVE-2026-109618與CVE-2026-109619，嚴重度評分（CVSS v4.0）均達9.2分，皆與PHP的記憶體管理問題有關，可能讓攻擊者在未經身分驗證的情況下遠端執行惡意程式碼。受影響環境包括Apache mod_php、PHP-FPM、CGI、FrankenPHP及LiteSpeed，其中以Apache mod_php風險最高，實際利用條件則依部署環境而異。
TrendAI™提醒，PHP除了用於網站，也可能存在於容器映像檔、主機控制面板及設備的網頁管理介面，容易成為資產盤點盲區。由於漏洞位於PHP本身，單獨更新WordPress、Magento或企業自建應用程式並不足夠，須由實際管理PHP執行環境的團隊或供應商完成修補。
對於PHP 8.1及更早版本，企業應確認供應商是否提供回補修正，或規劃升級至受支援版本。部分Linux發行版與長期支援供應商會將安全修正套用至舊版套件，因此不能僅憑版本編號判斷修補狀態。PHP官方強調，企業仍須完成安全更新，才能修補漏洞，調整系統設定僅能暫時降低部分風險，無法取代正式修補。
面對重大漏洞曝光與攻擊程式碼提前公開的雙重威脅，TrendAI™呼籲企業應以「優先修補、持續追查」原則，並採取以下行動：
1.全面盤點PHP使用環境：除企業網站外，也應涵蓋容器與建置映像檔、無伺服器函式、開發測試環境，以及內含PHP的第三方產品，並記錄版本與安裝來源。
2.依暴露程度排序：優先處理對外服務，尤其是檔案上傳、管理後台，以及涉及付款和客戶資料的系統。
3.確認舊版修補來源：針對PHP 8.1及更早版本已結束官方支援的版本，應向供應商確認回補更新；若無修補方案，應限制存取、隔離或進行升級。
4.追蹤委外更新進度：與代管、託管服務及設備供應商確認交付時程，核實套件是否包含安全修正。
5.完成更新並驗證修補：安排緊急變更與測試，重建映像檔，並重新啟動服務或替換容器，確認更新實際生效。
6.降低風險暴露：等待修補期間，移除不必要的對外服務，以VPN或允許清單限制管理介面，搭配可用的防火牆與入侵防護措施。
7.先修補、再追查：檢查異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，優先調查修補前持續暴露的系統。
面對重大漏洞威脅，企業除了加速修補，更需要掌握資產曝險情形，並持續偵測潛在攻擊跡象。TrendAI Vision One™網路資安曝險管理(CREM)可協助企業依資產重要性安排修補與調查順序；Agentic SIEM與XDR中的XDR Data Explorer可搜尋可疑端點程序活動。企業亦可透過託管式偵測與回應服務(MDR)取得全天候支援，並視需要申請入侵評估或事件應變服務。