## PHP發布安全性更新修補2項可導致遠端程式碼執行之嚴重漏洞，國際資安機構籲儘速更新

- 種別: news
- 重大度: critical
- 関連技術: php
- CVE: CVE-2026-109618, CVE-2026-109619
- 公開日時: 2026-10-22T06:19:00.000Z
- 情報源: TWCERT/CC 資安新聞 (https://www.twcert.org.tw/tw/cp-104-11308-ed8b8-1.html)
- パーマリンク: https://vulnpulse.app/items/twcert-news-d24f82ff8e5d

PHP官方於2026年10月21日發布安全性更新，修補CVE-2026-109618及CVE-2026-109619兩項嚴重漏洞，CVSS v4.0基礎分數皆為9.2，未經身分驗證之攻擊者可能利用漏洞執行遠端程式碼。TWCERT/CC已發布 漏洞警訊公告 ，美國網路安全暨基礎設施安全局（CISA）、歐盟電腦緊急應變小組（CERT-EU）及英國國家網路安全中心（NCSC）等機構相繼發布警告，呼籲使用PHP之單位立即完成更新；若無法立即更新，應考慮隔離對外系統或暫停服務。 PHP 官方公告 PHP官方於2026年10月20日預告，將於10月21日14:00 UTC（台灣時間22:00）發布安全性更新，修補2項嚴重漏洞，並表示若漏洞細節提前公開或出現實際利用跡象，將提前發布。 PHP官方於10月21日發布更新，修補之漏洞如下： CVE 編號 漏洞類型 CVSS v4.0 基礎分數 CVE-2026-109618 遠端程式碼執行 9.2 CVE-2026-109619 遠端程式碼執行 9.2 表1、PHP於2026年10月21日修補之漏洞（資料來源：PHP安全公告） 依官方說明，CVE-2026-109618與記憶體不足之處理機制有關，可能使PHP在請求資料尚未完成初始化時中斷，後續清理程序誤將無效資料視為有效資料。CVE-2026-109619則是請求所屬之內部狀態於記憶體釋放後仍殘留…