PHP 兩項重大漏洞觸發歐洲公共服務預防性下線官方已推出修補

網絡安全資訊 · 2026年10月21日

PHP 兩項重大漏洞引發歐洲公共服務緊急防護，荷蘭政府、巴黎市政府及芬蘭公共機構先後公布預防性停站安排。PHP 官方已於10月21日推出安全更新，網站營運者應盡快確認所用版本及修補狀態。

漏洞可讓未登入的攻擊者執行程式碼

根據PHP 官方安全公告，CVE-2026-109618 及 CVE-2026-109619 均可能造成未經驗證的遠端程式碼執行。兩項漏洞的 CVSS v4.0 評分同為9.2分，分別涉及記憶體不足時的處理，以及已失效的全域狀態。這是 PHP 執行環境的漏洞，單靠更新網站外掛並不足以完成修補。

CERT-EU 公告2026-018指出，處理網站請求的 PHP 安裝均須評估風險，涉及 PHP-FPM、Apache mod_php、PHP-CGI、FrankenPHP 及 LiteSpeed 等部署方式；不能只因沒有使用某一款網站系統，便假定不受影響。

荷蘭：政府公告確認，多個網站預防性下線，包括 Overheid.nl、MijnOverheid.nl 及 DigiD。
法國巴黎：市政府公告表示，部分使用 PHP 的網站按法國國家資訊系統安全局 ANSSI 建議進入維護，以進行檢查及必要處理。
芬蘭：交通與通訊局 Traficom 公告表示，Oma asiointi 網上服務及 Seutuplus.fi 因安全原因暫停；公共交通及售票仍維持運作。

這些公告說明的是預防性維護及風險控制，不能據此判定相關網站已遭入侵。各項服務的恢復情況，應以所屬機構的最新通知為準。

PHP 已為以下仍獲官方支援的版本分支發布修補。使用這些分支的網站，應更新至表列版本或同一分支的較新安全版本。

PHP 8.1 及更舊分支已結束官方支援，不能把未有一般版本更新視為不受影響。使用舊環境或作業系統供應商套件的機構，須向供應商核實是否已提供回補修正，並規劃轉用受支援版本。

盤點實際環境：向寄存商或技術團隊確認網站、管理後台及第三方產品是否包含 PHP，並取得對應套件的修補確認。
備份後盡快更新：套用官方或系統供應商安全套件，按部署方式重啟相關服務，確認處理網站流量的執行環境已使用修補版本。
驗證重要流程：檢查登入、表格、檔案上載及付款等功能，同時保留及檢視異常請求與錯誤紀錄。
未能即時修補便限制公開存取：CERT-EU 建議考慮把面向互聯網的應用暫時隔離，直至修補及驗證完成。PHP 官方強調，臨時緩解措施只能減少部分攻擊途徑，只有更新才能完整修補。

對企業而言，優先事項是確認修補已在實際提供服務的 PHP 環境生效，並留下可核對的版本及測試紀錄。