只更新WordPress不夠！PHP兩大漏洞CVSS達9.2，趨勢科技籲企業緊急修補、慎防假更新

廣泛應用於網站與電子商務平台的程式語言 PHP，近日被揭露兩項高風險漏洞，嚴重度評分均達 CVSS v4.0 9.2，漏洞資訊與攻擊程式碼更在官方修補程式釋出前公開。趨勢科技（東京證券交易所：4704）提醒，攻擊者可能在未經身分驗證的情況下遠端執行惡意程式碼，造成資料遭竊、檔案遭竄改或服務中斷；企業若只更新 WordPress 等網站程式，仍須確認底層 PHP 執行環境是否完成修補。

兩項漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619，均與 PHP 記憶體管理問題有關。趨勢科技指出，受影響環境包括 Apache mod_php、PHP-FPM、CGI、FrankenPHP 與 LiteSpeed，實際風險會依部署方式而異，其中 Apache mod_php 風險相對較高。

PHP 是網站及電商服務常見的執行環境，但企業盤點資產時，未必只會在主要網站主機上找到 PHP。容器映像檔、開發與測試環境、主機控制面板，甚至設備的網頁管理介面，都可能使用 PHP，成為容易忽略的曝險點。

由於漏洞位於 PHP 本身，更新 WordPress、Magento 或企業自建應用程式，並不等於底層 PHP 已完成修補。企業應先確認網站實際使用的 PHP 執行環境、版本與部署方式，再依系統是否對外開放、是否處理付款或客戶資料，安排修補優先順序。

對於 PHP 8.1 及更早版本，趨勢科技建議企業向供應商確認是否提供回補修正，或評估升級至仍受支援的版本。不過，部分 Linux 發行版與長期支援供應商會將安全修正回補至舊版套件，因此不能單憑版本號判斷系統是否已修補，仍須確認套件來源與更新內容。

趨勢科技建議企業先盤點網站、容器與第三方產品中的 PHP 使用情形，接著優先處理對外服務，再確認代管業者、託管服務商或設備供應商的更新進度。完成更新後，也應重新啟動服務或替換容器映像檔，確認修補實際生效。

若短時間內無法完成更新，企業可先移除不必要的對外服務，並透過 VPN 或允許清單限制管理介面存取，降低曝險範圍；防火牆與入侵防護措施則可作為過渡防線。PHP 官方也提醒，調整系統設定只能暫時降低部分風險，不能取代正式安全更新。

修補完成不代表調查工作結束。企業還應檢查修補前的異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，尤其要優先檢視曾長時間暴露在網際網路上的系統，確認是否已有入侵跡象。 （相關報導： PHP漏洞藏十多年被AI揪出：WordPress、Drupal等系統都用到，小型網站風險更高 ｜ 更多文章 ）

針對人力與技術資源有限、難以迅速完成盤點和修補的中小企業，趨勢科技旗下 TrendLife 推出「PHP漏洞急救包」。依公司說明，服務採代理（Proxy）架構，部署在網站前方，在惡意請求抵達伺服器前進行攔截，防護規則針對 PHP、WordPress 與 Laravel 網站調整；服務即日起提供 7 天免費使用。

趨勢科技執行長陳怡樺表示，PHP漏洞影響層面廣，仰賴網站營運的中小企業衝擊尤其直接，「網站一旦受影響就可能面臨服務中斷、無法接單與資料外洩的風險」。她並表示，趨勢科技的應變作法包括在網路層檢查流量、攔阻攻擊，並在端點部署防護，以降低惡意程式植入風險，讓業者有更多時間完成修補。這項代理式防護仍不能取代 PHP 正式更新，企業須確認修補來源、完成更新並驗證生效。

同樣因應資安署近期發布的資安警訊，台灣大哥大（3045）宣布即日起至 11 月 30 日，開放前 100 家企業免費體驗 EASM 外部攻擊面管理、EDR 端點偵測與回應及社交工程演練平台。台灣大進一步說明，EASM 可檢視企業對外網路服務、網站、帳密、電子郵件與雲端曝險；EDR 協助掌握端點可疑行為，社交工程平台則透過釣魚情境檢視員工資安意識。免費內容包括一次 EASM 檢測、EDR 體驗，以及一次 200 封郵件的社交工程演練。

台灣大哥大企業服務事業商務長朱曉幸表示，資安防護不應因企業規模而有所差別。這些體驗著重外部曝險盤點、端點偵測與員工演練，並非 PHP 漏洞修補服務，企業仍須確認底層 PHP 更新是否完成。

趨勢科技表示，目前沒有公開資料顯示詐騙集團已利用此次漏洞行騙，但提醒消費者留意借資安事件名義發送的簡訊或電子郵件。若訊息要求立即更新、重新登入或驗證帳號，應先透過官方網站、App 或客服查證，不要直接點擊陌生連結，也不要下載不明更新程式。 （相關報導： PHP漏洞藏十多年被AI揪出：WordPress、Drupal等系統都用到，小型網站風險更高 ｜ 更多文章 ）

趨勢科技也建議民眾維持手機、電腦與應用程式在最新版本；若收到可疑訊息，可撥打 165 反詐騙諮詢專線查證。此次漏洞需要修補的是網站業者的 PHP 執行環境，消費者不應依陌生訊息指示，安裝所謂的「PHP漏洞更新」。