【企業建議處置措施】PHP 重大安全漏洞

PHP 重大安全漏洞 CVE-2026-109618／CVE-2026-109619 PHP 近期揭露兩項重大安全漏洞 CVE-2026-109618 與 CVE-2026-109619，CVSS v4.0 評分皆為 9.2（Critical），在特定環境與條件下可能造成未經身分驗證的遠端程式碼執行（RCE），建議企業儘速盤點並完成修補。 一、企業應立即處置 1. 儘速更新 PHP PHP 官方釋出安全修補，建議依使用分支升級至以下版本或更新版本： PHP 8.5.12 PHP 8.4.27 PHP 8.3.36 PHP 8.2.35 PHP 8.1(含)以下版本因官方已停止維護(EOL)，將不會獲得官方修補更新，建議儘速升級至上述仍支援之版本。PHP官方更新公告與下載網址：https://www.php.net/downloads.php 2. 盤點對外 PHP 系統 確認企業對外網站、Web 應用服務、及含 PHP 第三方產品，掌握 PHP 版本與修補狀態。 3. 修補前降低曝險 若無法立即完成更新，建議限制非必要的外部存取、隔離高風險服務，並搭配 WAF 等防護機制降低曝險。 4. 持續監控異常活動 修補前後皆應持續檢視系統與主機紀錄，留意異常 HTTP 請求、PHP 程序異常啟動 shell 或下載工具、應用程式檔案遭竄改、Web Shell 或可疑對外連線等入侵跡象。 二、HiNet WAF 防護措施 針對本次 PHP 重大安全漏洞，HiNet WAF 資安維運團隊已啟動相關防護措施： 主動探測與攔阻：HiNet WAF 已更新網頁攻擊特徵庫，精準識別並自動攔阻試圖利用 PHP 漏洞的惡意連線。 全面啟用阻擋模式：相關安全防護規則均已切換至主動阻擋（Blocking）模式，在惡意請求觸及您的後端伺服器前，WAF 將予以即時阻斷。 全天候動態監控：資安專家團隊持續監控網路流量，密切追蹤該漏洞的後續變異，動態更新防禦規則，確保防線即時有效。 WAF 是防護，不是修補 HiNet WAF 可協助降低網站應用服務曝險，但無法取代 PHP 本身的安全更新。建議企業落實「PHP 修補＋WAF 防護＋持續監控」的縱深防禦。 三、如何判斷公司是否需要處理？ 企業有網站、Web 系統或其他使用 PHP 服務，請 IT／資安維運人員： 盤點 PHP 版本 → 確認是否受影響 → 完成安全更新 → 持續監控 特別提醒，漏洞存在於 PHP 執行環境本身，只更新 WordPress、Magento 或其他上層應用程式，可能不足以完成本次 PHP 漏洞修補。 四、聯絡資訊 如對本次漏洞或 HiNet WAF 防護有相關需求，歡迎洽詢您的中華電信業務經理，或來信企業資安官網、撥打 24 小時客服專線 0800-080-123，由專人提供協助與解決方案。 了解更多