亞修一下 · 2026-11-10
PHP 漏洞與中小企業官網該怎麼做
若官網用 PHP（很多 WordPress 與虛擬主機都是），請向主機商確認版本。PHP 官方在 2026 年 10 月 21 日公告兩個嚴重問題，未更新的網站可能在未登入的情況下被執行程式碼。請更新到 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35 以上。本文不寫攻擊步驟。
這兩個編號是什麼
CVE-2026-109618：PHP 在記憶體不足時的處理可能留下未初始化的資料，後續清理過程可能被濫用。CVE-2026-109619：請求結束後，內部狀態仍可能指向已釋放的記憶體。PHP 官方與 PHP Foundation 都稱這兩個問題可以造成未經驗證的遠端程式碼執行，並請立即更新。NVD 收錄了這兩個編號。
中小企業實際要做的事
登入主機或詢問虛擬主機商，看網站跑的是哪一版 PHP。若是 8.2、8.3、8.4、8.5，更新到上面寫的修正版或更新。若是 8.1 或更舊，PHP 專案已不再提供更新，需要主機商的回溯修補，或升到仍在維護的版本。升版前先備份，並在測試環境看表單、金流與外掛是否正常。WordPress、佈景主題與外掛也要一起更新，不要只改 PHP。
10 月 23 日的補充
PHP 官方在 2026 年 10 月 23 日另發資訊性說明：在下一版修正前，可把 session.upload_progress.enabled 設為 0，以降低一個不常見設定組合下的風險（CVE-2026-115560）。若你的網站不曾在執行中切換 session.serialize_handler，官方也說可以維持原設定。這是官方的緩解建議，不是攻擊方法。
我們不會做的事
不提供可複製的攻擊流程，也不把資安健檢說成滲透測試。需要的話，在書面授權下做被動檢查，確認版本有沒有被頁面露出來，再把更新交給主機商或另案處理。
可以照著做的清單
- 向主機商確認 PHP 版本
- 8.2 至 8.5 更新到 8.2.35／8.3.36／8.4.27／8.5.12 或更新
- 8.1 與更舊：詢問有沒有回溯修補，或規劃升級
- 更新前備份
- 同時更新 CMS 與外掛
- 不要把後台網址與版本號公開在頁面上
常見問題
我用的是 WordPress，也算嗎？
WordPress 跑在 PHP 上。PHP 本身要更新，WordPress 核心、佈景主題與外掛也要更新，兩件都做。
更新會不會讓網站壞掉？
有可能與舊外掛不相容。所以先備份，能的話先在測試站看表單與登入。
來源
想請人從外面看版本有沒有露出來：官網資安健檢。聯絡 Shawn。
作者 Shawn（拓衍工作室） · 發布與更新：2026年11月10日