看到網站安全的新聞，您可能也會擔心：「公司的網站會不會受到影響？」2026 年 10 月 21 日，PHP 開發團隊公布了 PHP 的重大漏洞，並釋出修補版本。當天，日本首相高市早苗也透過 X 提醒使用者確認是否使用 PHP，並預先準備更新。

PHP 是驅動網站畫面與功能的基礎技術之一，WordPress 等網站也會使用。不過，光看網站外觀很難判斷是否使用 PHP。如果伺服器交由維護廠商管理，企業窗口不必自行研究技術架構。

首先要確認的是：公司的網站或業務系統是否使用 PHP，以及是否已完成修補。PHP 官方於 10 月 20 日預告修補版本即將發布，並於 21 日公布詳細資訊與修補版本。JPCERT/CC 與 JVN 也於 22 日發布了供日本使用者參考的資訊。

為什麼這也與公司有關？

本次漏洞在特定條件下，可能讓未經身分驗證的外部人士，在伺服器上執行非預期的程式。是否受到影響，取決於有沒有使用 PHP、環境的管理方式，以及是否已套用修補。出現漏洞新聞，並不代表公司的網站已遭攻擊或入侵。即使還不清楚是否受影響，也建議儘早向維護廠商確認。

PHP 是在伺服器端執行的軟體，與 WordPress 本身分開。因此，更新 WordPress 主程式或外掛，不一定代表 PHP 也已完成修補。如果網站委外維護，向簽約的維護廠商或主機服務商確認，會比較確實。

先向維護廠商確認現況

企業窗口不必勉強自行調整專業設定或執行更新。請先向網站維護廠商、主機服務商，或公司內部的資訊人員，確認 PHP 的使用情況及修補狀態。如果不知道該找誰，可以從網站維護合約、主機服務的帳單或合約尋找聯絡窗口。

以下文字可填入網站名稱或網域後，直接用來詢問：

關於 10 月 21 日公布的 PHP 漏洞，請協助確認本公司網站（目標網域）是否使用 PHP，以及是否已完成修補。若尚未處理，請告知預計處理時程、本公司需要配合的事項，以及是否需要暫停網站服務。

套用修補後，也要確認網站顯示與業務功能是否正常。更新方式與作業時間會因伺服器環境而異，請與維護廠商討論後進行。若廠商提出暫時性的緩解措施，也不要因此認定已經安全，仍應確認何時會套用修補版本。PHP 官方也指出，更新至修補版本才是完整的解決方式。

修補狀態也要向供應商確認

PHP 官方已為仍在一般支援範圍內的版本系列提供修補版本。不過，主機服務商或作業系統供應商可能會將修補程式套用到自己的套件中，因此畫面上顯示的 PHP 版本號碼，可能與官方修補版本不同。這種做法稱為「修補回移」（backport）。請勿僅憑版本號碼就認定尚未修補，應向維護廠商或供應商確認。

如果仍在使用舊版 PHP，也請向維護廠商確認本次漏洞的修補狀態，以及後續的升級計畫。

本次公告提醒使用 PHP 的企業重新確認修補狀態。建議先找出公司網站的管理窗口，向維護廠商取得三項答案：「是否使用 PHP」、「是否已完成修補」，以及「若尚未處理，預計何時、如何進行」。

維護人員參考資訊

  • 本次漏洞：CVE-2026-109618、CVE-2026-109619。
  • PHP 官方公告與修補版本：一般支援範圍內的 8.5 系列為 8.5.12、8.4 系列為 8.4.27、8.3 系列為 8.3.36、8.2 系列為 8.2.35。
  • PHP 的執行方式包括 PHP-FPM、Apache mod_php、php-cgi 等。確認影響範圍時，請一併確認執行方式與供應商的修補狀態。
  • PHP 8.1 及更舊版本已不在一般支援範圍內。是否提供例外修補程式或供應商自行維護的修補，請向供應商確認。
  • PHP 官方表示，更新至修補版本才是完整的解決方式，僅採取暫時性的緩解措施，仍不能視為安全。
  • 加拿大網路安全中心在 10 月 21 日公告時表示，已有概念驗證程式碼（PoC）的報告，但該中心當時尚未確認實際遭到利用的案例。這是該中心當時的觀察，不代表目前全球都沒有漏洞遭利用的情形。

第一手資訊

相關報導與貼文

※本文依據截至 2026 年 10 月 22 日 22:29（Asia/Taipei）確認的資訊撰寫。最新情況請參閱各供應商的公告。