兩項 CVSS 9.2 高風險漏洞，可能讓駭客遠端執行惡意程式碼
WordPress、Laravel 與各類 PHP 網站都應立即檢查。即使網站目前正常運作，也不代表主機不存在安全風險。
可思科技提供 PHP 資安漏洞檢測與緊急修補服務，協助企業確認網站環境、完成安全更新，降低系統遭受攻擊的風險。
實際風險與可修補範圍依網站及主機環境評估。
2026 年 10 月，PHP 官方確認兩項重大安全漏洞（CVE-2026-109618、CVE-2026-109619），兩者 CVSS v4.0 評分皆達 9.2 分。
這次問題發生在 PHP 核心層級，攻擊者在特定條件下可能不需要登入網站，就能利用漏洞在伺服器上執行惡意程式碼。
攻擊者可能藉由漏洞在主機執行未授權指令，進一步危害網站或系統安全。
若漏洞遭成功利用，可能進一步造成資料外洩、網站遭植入惡意程式或服務中斷。
這次漏洞涉及 PHP 執行環境，即使 WordPress、Laravel 或外掛已更新，仍需要確認底層 PHP 是否完成安全修補。
只要網站使用 PHP 技術，就建議確認目前主機版本與修補狀態。
企業官網、品牌網站、WooCommerce 商城
客製化網站、會員系統、企業管理平台
PHP 原生開發、Drupal、Magento 等
Linux 主機、雲端伺服器及代管服務
提醒：使用 PHP 不代表一定已遭入侵，實際曝險程度仍取決於 PHP 版本、伺服器配置及安全修補狀態。
不只是升級 PHP 版本，更重要的是確認網站在修補後能夠正常運作。
確認 PHP 版本、執行模式、主機設定與本次漏洞的影響範圍。
確認網站備份、相容性與更新方式，降低修補造成服務異常的可能性。
依主機環境套用官方安全修補版本，必要時調整相關設定。
確認主要頁面、表單、會員登入及重要功能正常，並檢視可取得的異常紀錄。
整理修補前後版本、處理項目、檢測結果及後續資安建議。
建議以單一網站、單一主機環境作為標準方案範圍。跨主機架構、舊版 PHP 大幅升級、程式相容性改寫、入侵鑑識及災後復原另行報價。
若網站仍運行在 PHP 8.2 以下版本，多數舊版 PHP 已停止官方安全支援，單次修補難以根治風險，且程式相容性問題較多，建議直接進行網站完整翻新，一次解決安全性與維護性問題。
購物車、會員系統、客製化功能等特殊網站，請來信詢問，由我們評估後報價。
來信詢問網站翻新不一定。這次漏洞影響的是 PHP 核心環境，是否存在風險需要檢查實際版本及修補狀態，而非單純以網站框架判斷。
需要另外確認。WordPress 核心、外掛更新與 PHP 執行環境更新是不同的事情。
部分舊網站可能出現程式相容性問題，因此應先備份、評估更新方式，再進行修補與功能驗證。
無法保證。修補可處理本次已知漏洞，但其他程式弱點、帳號安全或主機設定風險仍需要另外管理。
.png?v=1647475200)
.jpg?v=1697597433)
