開源伺服器端腳本語言PHP爆出兩項重大資安漏洞，攻擊者可能在未經身分驗證的情況下，遠端執行任意程式碼，進而取得受影響伺服器的控制權限。數位發展部資通安全署10月22日發布警訊指出，PHP安全團隊已於10月21日晚間釋出緊急安全更新，修補CVE-2026-109618與CVE-2026-109619兩項漏洞，其通用漏洞評分系統（CVSS v4.0）嚴重度均達9.2分，呼籲政府機關、學校及企業儘速盤點受影響系統並完成更新。
這兩項漏洞又被稱為PHP2Shell，主要涉及PHP內部的記憶體管理與請求處理機制。其中，CVE-2026-109618與記憶體不足（Out-of-Memory，OOM）處理異常有關，當PHP在部分內部資料尚未完成初始化時中斷處理，後續清理程序可能錯誤存取記憶體。CVE-2026-109619則涉及已釋放記憶體的使用（Use-After-Free），當先前請求使用的記憶體已被釋放，部分全域狀態卻未正確清除，後續請求可能再次存取失效資料。這些缺陷在特定條件下可能遭攻擊者利用，導致遠端程式碼執行（Remote Code Execution，RCE）。
根據PHP官方安全公告，受影響範圍涵蓋多種網站執行環境，包括PHP-FPM、Apache mod_php與php-cgi等。其中，Apache mod_php已被證實存在可於應用程式程式碼執行前觸發漏洞的攻擊方式，因此即使網站設有應用程式層級的身分驗證機制，仍可能面臨威脅。
PHP已針對仍受支援的版本分支釋出8.5.12、8.4.27、8.3.36及8.2.35修補版本。至於PHP 8.1及更早版本，官方已停止提供例行安全維護，仍使用舊版環境的企業須確認作業系統發行版本或長期支援供應商是否提供安全修補，必要時規劃升級至受支援版本。相關漏洞資訊及修補版本已由PHP官方公布。
由於PHP廣泛應用於企業網站、內容管理系統（CMS）與各類管理介面，漏洞影響可能延伸至不同應用服務。資安署提醒，WordPress、Drupal、Joomla及Magento等內容管理或電子商務系統均以PHP作為主要技術基礎，部分第三方軟體及設備管理介面也可能內含PHP元件。因此，企業應將自行建置的網站、委外維護系統，以及內含PHP的軟體與相關套件一併納入盤點範圍。
數位發展部資通安全署（資安署）表示，掌握相關威脅情資後，已透過資安警訊、國家資安資訊分享與分析中心（N-ISAC），以及台灣電腦網路危機處理暨協調中心（TWCERT/CC）等管道，通知各機關與企業採取應變措施。
針對企業維運作業，資安署建議先確認PHP版本與相關套件的使用情況，依官方公告完成修補，並於更新後檢視網站伺服器、應用程式及系統日誌，確認是否存在異常存取或可疑活動。如發現不明操作、異常帳號使用或其他疑似入侵跡象，應進一步調查帳號與憑證安全性，評估是否需要採取額外的資安應變措施。
考量這兩項漏洞涉及PHP核心元件，即使企業已更新網站應用程式或內容管理系統，仍須另外確認底層PHP執行環境是否完成修補。對外提供服務的網站，以及承載企業重要資料或管理功能的系統，應優先安排漏洞檢測與版本更新，以降低遭受攻擊的風險。
