英國資安顧問 ACA Tech Solutions 與 Phoenix FM 合作提醒，PHP 專案於 2026年10月21日 修補兩項重大漏洞：CVE-2026-109618 與 CVE-2026-109619。依文章所述，暴露於網路的受影響系統可能讓攻擊者在未取得帳號密碼的情況下執行程式碼；PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed 等處理架構均可能受影響，英國國家網路安全中心亦要求組織立即盤點並處置。
官方修正版涵蓋 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35；但作業系統、长期支援供應商或代管主機可能採取回移修補，版本號未必一致。「更新應用程式不等於修補底層 PHP」是本次事件最重要的技術分界，WordPress、WooCommerce、Magento、PrestaShop、Drupal、Joomla 與客製系統的業主，均須確認實際處理網頁請求的執行環境。
這起事件表面上是一項PHP 執行環境弱點更新，實質上反映網路安全責任鏈的結構性落差：企業通常只看見前台網站、主控台或應用程式版本，卻難以掌握底層伺服器真正載入的執行版本。「頁面看似正常」不等於「執行環境安全」，這種隱藏性使修補資訊容易在內容管理、主題、外掛與主機商之間形成責任落差。
PHP 此次事件可與歷次開源基礎元件重大漏洞帶來的供應鏈風險相比：企業真正困難不是下載修正版，而是確認修正版是否進入每個對外服務，且更新後是否真的取代了記憶體中的舊程序。
01 起因觸發：PHP 專案修補兩項可導致遠端程式碼執行的重大漏洞。
02 一階傳導：使用PHP 的WordPress、電商、預訂與客製網站須盤點並更新底層執行環境。
03 二階擴散：雲端主機商、代管IT服務商與電商供應鏈面臨批次修補、備援及事件鑑識需求。
04 宏觀終局：企業將加速推動曝險管理、可驗證更新與完整技術堆疊安全，提升網路基礎設施的維運成本。
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
