【高風險資安通報】PHP 存在遠端程式碼執行漏洞，請儘速確認並完成安全更新
漏洞編號： CVE-2026-109618、CVE-2026-109619
PHP 存在高風險安全漏洞，攻擊者可能在 無須身分驗證 的情況下，於受影響伺服器執行任意程式碼。
目前已有相關漏洞概念驗證程式（PoC）公開， 請各單位儘速確認並完成安全更新。
一、漏洞說明
近期資安研究人員發現，PHP 存在兩項 使用釋放後記憶體 （Use-After-Free, UAF） 安全漏洞。
攻擊者可能透過傳送特製的
multipart/form-data
HTTP 請求，在未經身分驗證的情況下觸發漏洞，
進而於受影響伺服器執行任意程式碼
（Remote Code Execution, RCE）。
此類漏洞可能對系統機密性、完整性及可用性 造成重大影響，請系統管理人員提高警覺。
二、受影響版本
- PHP 5.4.x～5.6.x：所有版本
- PHP 7.0.x～7.4.x：所有版本
- PHP 8.0.x～8.1.x：所有版本
仍受官方支援的受影響版本：
| PHP 版本 | 受影響版本 | 建議更新版本 |
|---|---|---|
| 8.5 | 8.5.11（含）以前 | 8.5.12 |
| 8.4 | 8.4.26（含）以前 | 8.4.27 |
| 8.3 | 8.3.35（含）以前 | 8.3.36 |
| 8.2 | 8.2.34（含）以前 | 8.2.35 |
WordPress、Drupal、Joomla、Magento 等內容管理系統（CMS）可能使用 PHP 作為底層執行環境。 即使 CMS 已更新至最新版本， 仍應確認伺服器所使用的 PHP 版本是否受到影響。
三、建議處置措施
請各單位系統管理人員儘速執行下列措施：
- 全面盤點 PHP 使用情形： 確認網站伺服器、應用系統及 CMS 所使用的 PHP 版本。
- 儘速完成安全更新： 將受影響系統升級至官方已修補的安全版本。
- 汰換停止維護版本： PHP 8.1（含）以下版本應儘速規劃升級。
- 加強安全監控： 檢查網站存取紀錄、系統錯誤紀錄及異常行為。
- 確認更新結果： 更新後應檢查 PHP 版本， 並確認網站及相關服務正常運作。
PHP 8.5.12 ／ PHP 8.4.27
PHP 8.3.36 ／ PHP 8.2.35
更新前請先完成系統備份及相容性測試， 並於更新後確認網站服務正常運作。
前往 PHP 官方下載頁面 →四、參考資料
請各單位儘速確認所屬網站及應用系統的 PHP 版本，優先完成受影響系統的安全更新， 以降低遭受網路攻擊及系統入侵的風險。
