此次漏洞編號為CVE-2026-109618與CVE-2026-109619，嚴重度評分（CVSS v4.0）均達9.2分
TrendAI分析，此次漏洞編號為CVE-2026-109618與CVE-2026-109619，嚴重度評分（CVSS v4.0）均達9.2分，皆與PHP的記憶體管理問題有關，可能讓攻擊者在未經身分驗證的情況下遠端執行惡意程式碼。受影響環境包括Apache mod_php、PHP-FPM、CGI、FrankenPHP及LiteSpeed，其中以Apache mod_php風險最高，實際利用條件則依部署環境而異。
只更新WordPress還不夠、籲全面盤點並修補底層PHP
TrendAI™提醒，PHP除了用於網站，也可能存在於容器映像檔、主機控制面板及設備的網頁管理介面，容易成為資產盤點盲區。由於漏洞位於PHP本身，單獨更新WordPress、Magento或企業自建應用程式並不足夠，須由實際管理PHP執行環境的團隊或供應商完成修補。
對於PHP 8.1及更早版本，企業應確認供應商是否提供回補修正，或規劃升級至受支援版本。部分Linux發行版與長期支援供應商會將安全修正套用至舊版套件，因此不能僅憑版本編號判斷修補狀態。PHP官方強調，企業仍須完成安全更新，才能修補漏洞，調整系統設定僅能暫時降低部分風險，無法取代正式修補。
🔗 延伸閱讀《全球7成網站拉警報！PHP驚爆重大漏洞恐遭奪權 國內可能受影響規模曝》
🔗 延伸閱讀《日本PHP漏洞影響大！7-11、遊樂園、牛丼店都遭波及 高市早苗籲盡快補洞》
🔗 延伸閱讀《全球7成網站使用！「PHP」被AI揪重大漏洞 駭客恐接管、多國網站急關閉》
「先修補、再追查」、TrendAI™提出7大行動降低企業風險
面對重大漏洞曝光與攻擊程式碼提前公開的雙重威脅，TrendAI™呼籲企業應以「優先修補、持續追查」原則，並採取以下行動：
1.全面盤點PHP使用環境：除企業網站外，也應涵蓋容器與建置映像檔、無伺服器函式、開發測試環境，以及內含PHP的第三方產品，並記錄版本與安裝來源。
2.依暴露程度排序：優先處理對外服務，尤其是檔案上傳、管理後台，以及涉及付款和客戶資料的系統。
3.確認舊版修補來源：針對PHP 8.1及更早版本已結束官方支援的版本，應向供應商確認回補更新；若無修補方案，應限制存取、隔離或進行升級。
4.追蹤委外更新進度：與代管、託管服務及設備供應商確認交付時程，核實套件是否包含安全修正。
5.完成更新並驗證修補：安排緊急變更與測試，重建映像檔，並重新啟動服務或替換容器，確認更新實際生效。
6.降低風險暴露：等待修補期間，移除不必要的對外服務，以VPN或允許清單限制管理介面，搭配可用的防火牆與入侵防護措施。
7.先修補、再追查：檢查異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，優先調查修補前持續暴露的系統。
TrendAI Vision One™整合曝險管理與威脅調查 協助企業加速資安應變
面對重大漏洞威脅，企業除了加速修補，更需要掌握資產曝險情形，並持續偵測潛在攻擊跡象。TrendAI Vision One™網路資安曝險管理(CREM)可協助企業依資產重要性安排修補與調查順序；Agentic SIEM與XDR中的XDR Data Explorer可搜尋可疑端點程序活動。企業亦可透過託管式偵測與回應服務(MDR)取得全天候支援，並視需要申請入侵評估或事件應變服務。
民眾也別急著點「請立即更新」 慎防假更新通知與釣魚連結
除了企業應立即做出應變對策外，趨勢科技旗下消費性事業群TrendLife™提醒，目前尚無公開資料顯示詐騙集團已利用此次漏洞行騙，但消費者仍須提高警覺，並做好以下四大防護：
1.更改密碼：若收到常用網站的通知，確認服務受到此次漏洞影響，請儘速更改密碼，並透過官方App或自行儲存的書籤登入，避免點擊不明連結而落入釣魚陷阱。
2.慎防假冒的詐騙訊息：詐騙集團可能假借網站發生資安事件，透過簡訊或電子郵件要求使用者立即更新、重新登入或驗證帳號。遇到這類訊息，切勿急於點擊連結，應先透過官方網站或客服確認，亦可撥打165反詐騙諮詢專線查證。
3.定期檢查裝置安全：確認手機與電腦上的App及防毒軟體皆已更新至最新版本，才能及時修補已知安全漏洞，降低遭惡意網站利用漏洞植入惡意程式的風險。
4.善用工具強化日常防護：消費者可利用趨勢科技AI防詐達人查證可疑訊息與連結、過濾詐騙簡訊並阻擋詐騙來電。此外，手機可搭配趨勢科技行動安全防護，封鎖詐騙網頁與惡意網址，防範惡意程式；筆電與桌機則可使用PC-cillin雲端版，結合AI防毒、惡意網址阻擋及個資外洩警示，守護裝置與個人資料安全。
趨勢科技強調，面對重大資安漏洞，企業端應把握漏洞曝光後的黃金時間完成盤點、修補及調查，而消費者則應提高防詐意識，切勿因收到緊急更新通知而貿然點擊不明連結。真正需要更新PHP的是網站業者，任何要求使用者透過陌生連結「更新漏洞」或「重新登入」的通知，都應先從官方管道查證，避免讓資安事件成為詐騙集團可乘之機。
