PHP 爆兩大高風險漏洞、危險評分達 9.2，趨勢科技籲企業盡速修補
廣泛應用於網站及電子商務平台的程式語言 PHP，近日揭露兩項重大資安漏洞，嚴重度評分均達 9.2 分，且漏洞資訊與攻擊程式碼在官方修補程式發布前便已曝光，使尚未更新的網站與網路服務面臨潛在威脅。趨勢科技警告，攻擊者可能利用漏洞，在未經身分驗證的情況下遠端執行惡意程式碼，進而竊取資料、竄改檔案，甚至造成服務中斷。
此次揭露的漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619，兩者在 CVSS v4.0 評分均達 9.2 分，皆與 PHP 記憶體管理問題有關。受影響的部署環境涵蓋 Apache mod_php、PHP-FPM、CGI、FrankenPHP 及 LiteSpeed，其中以 Apache mod_php 的風險最高，但實際攻擊條件仍取決於各系統部署方式。
趨勢科技旗下企業資安品牌 TrendAI 指出，PHP 不僅存在於一般網站，也廣泛應用於容器映像檔、主機控制面板及設備的網頁管理介面，容易成為企業資產盤點時忽略的環節。由於此次漏洞存在於 PHP 執行環境本身，因此僅更新 WordPress、Magento 或企業自行開發的網站應用程式，並無法完全排除漏洞風險。
TrendAI 建議，企業應全面盤點內部 PHP 使用情形，優先處理直接對外提供服務的系統，尤其是涉及檔案上傳、管理後台、線上付款及客戶資料的網站，並確認實際執行 PHP 的環境已完成安全更新。
針對 PHP 8.1 及更早版本，企業則應確認軟體供應商是否提供安全修補，或規劃升級至仍受支援的版本。部分 Linux 發行版及長期支援服務商可能將安全修正回補至舊版套件，因此不能單純依據 PHP 版本編號判斷系統是否已修補。
此外，完成修補不代表資安事件風險已完全排除。趨勢科技提醒，由於漏洞資訊及攻擊程式碼提前公開，企業除了更新系統，也應追查修補前可能發生的異常活動，包括可疑程序、檔案變更、網頁後門及異常對外連線，確認是否已有攻擊者入侵。
在消費者端，趨勢科技旗下消費性資安品牌 TrendLife 提醒，重大漏洞曝光後，民眾也須提防假冒網站安全通知的釣魚訊息。詐騙集團可能透過電子郵件或簡訊，宣稱網站出現漏洞，要求使用者立即更新、重新登入或驗證帳號，藉此誘導點擊惡意連結。
不過趨勢科技強調，目前尚無公開資料顯示詐騙集團已利用此次 PHP 漏洞進行相關詐騙，真正需要修補 PHP 漏洞的是網站營運商，而非一般網站使用者。民眾若收到可疑更新通知，應透過官方網站或客服確認，避免因資安警訊反而落入釣魚陷阱。
（首圖來源：pixabay）