記者許若茵／台北報導
數位發展部資通安全署表示，開源伺服器端腳本語言PHP安全團隊21日晚間 釋出緊急安全更新，修補兩項嚴重漏洞。TrendAI™指出，攻擊者可能利用漏洞，在未經身分驗證的情況下遠端執行惡意程式碼，造成資料遭竊、檔案遭竄改或服務中斷。企業應立即盤點PHP使用情形，優先修補對外開放的服務，並確認更新實際生效、持續追查入侵跡象，降低資安風險。
資通安全署說明，兩項嚴重漏洞，編號分別為 CVE-2026-109618 與 CVE-2026-109619，嚴重度評分（CVSS v4.0）均為9.2分，由於PHP廣泛用於網站建置、內容管理系統與各類管理介面，資安署呼籲使用PHP的機關、學校及企業，儘速完成版本確認與更新。
TrendAI™提醒，PHP除了用於網站，也可能存在於容器映像檔、主機控制面板及設備的網頁管理介面，容易成為資產盤點盲區。由於漏洞位於PHP本身，單獨更新WordPress、Magento或企業自建應用程式並不足夠，須由實際管理PHP執行環境的團隊或供應商完成修補。
對於PHP 8.1及更早版本，企業應確認供應商是否提供回補修正，或規劃升級至受支援版本。部分Linux發行版與長期支援供應商會將安全修正套用至舊版套件，因此不能僅憑版本編號判斷修補狀態。PHP官方強調，企業仍須完成安全更新，才能修補漏洞，調整系統設定僅能暫時降低部分風險，無法取代正式修補。
面對重大漏洞曝光與攻擊程式碼提前公開的雙重威脅，TrendAI™呼籲企業應以「優先修補、持續追查」原則，並採取以下行動：
- 全面盤點PHP使用環境：除企業網站外，也應涵蓋容器與建置映像檔、無伺服器函式、開發測試環境，以及內含PHP的第三方產品，並記錄版本與安裝來源。
- 依暴露程度排序：優先處理對外服務，尤其是檔案上傳、管理後台，以及涉及付款和客戶資料的系統。
- 確認舊版修補來源：針對PHP 8.1及更早版本已結束官方支援的版本，應向供應商確認回補更新；若無修補方案，應限制存取、隔離或進行升級。
- 追蹤委外更新進度：與代管、託管服務及設備供應商確認交付時程，核實套件是否包含安全修正。
- 完成更新並驗證修補：安排緊急變更與測試，重建映像檔，並重新啟動服務或替換容器，確認更新實際生效。
- 降低風險暴露：等待修補期間，移除不必要的對外服務，以VPN或允許清單限制管理介面，搭配可用的防火牆與入侵防護措施。
- 先修補、再追查：檢查異常請求、可疑程序、檔案變更、網頁後門及異常對外連線，優先調查修補前持續暴露的系統。
除了企業應立即做出應變對策外，趨勢科技旗下消費性事業群TrendLife™提醒，目前尚無公開資料顯示詐騙集團已利用此次漏洞行騙，但消費者仍須提高警覺，並做好以下四大防護：
- 更改密碼：若收到常用網站的通知，確認服務受到此次漏洞影響，請儘速更改密碼，並透過官方App或自行儲存的書籤登入，避免點擊不明連結而落入釣魚陷阱。
- 慎防假冒的詐騙訊息：詐騙集團可能假借網站發生資安事件，透過簡訊或電子郵件要求使用者立即更新、重新登入或驗證帳號。遇到這類訊息，切勿急於點擊連結，應先透過官方網站或客服確認，亦可撥打165反詐騙諮詢專線查證。
- 定期檢查裝置安全：確認手機與電腦上的App及防毒軟體皆已更新至最新版本，才能及時修補已知安全漏洞，降低遭惡意網站利用漏洞植入惡意程式的風險。
- 善用工具強化日常防護：消費者可利用趨勢科技AI防詐達人查證可疑訊息與連結、過濾詐騙簡訊並阻擋詐騙來電。此外，手機可搭配趨勢科技行動安全防護，封鎖詐騙網頁與惡意網址，防範惡意程式；筆電與桌機則可使用PC-cillin雲端版，結合AI防毒、惡意網址阻擋及個資外洩警示，守護裝置與個人資料安全。
趨勢科技強調，面對重大資安漏洞，企業端應把握漏洞曝光後的黃金時間完成盤點、修補及調查，而消費者則應提高防詐意識，切勿因收到緊急更新通知而貿然點擊不明連結。真正需要更新PHP的是網站業者，任何要求使用者透過陌生連結「更新漏洞」或「重新登入」的通知，都應先從官方管道查證，避免讓資安事件成為詐騙集團可乘之機。
—
本篇文章授權來源：科技島
