資安研究員在全球廣泛使用的網站程式語言PHP上發現兩個重大安全漏洞（CVE-2026-109618、CVE-2026-109619），危險程度均達CVSS 9.2 分（CVSS 滿分為10分）。
受影響的 PHP 版本：
- PHP 8.5（8.5.12 以前）
- PHP 8.4（8.4.27 以前）
- PHP 8.3（8.3.36 以前）
- PHP 8.2（8.2.35 以前）

• PHP 8.2 至 8.5：屬於官方目前維護分支，將獲得官方修補程式（預計釋出8.5.12、8.4.27、8.3.36 與 8.2.35）。

- End-of-life 版本如 PHP 8.1 或更早之前的版本

• PHP 8.0 與 8.1（約 18.6 萬部）：已停止官方維護，無法取得官方修補。
• PHP 7.x 系列（約 32.9 萬部）：已停止官方維護，無法取得官方修補。
• PHP 5.x 系列（約 36.9 萬部）：已停止官方維護，無法取得官方修補。

這兩個漏洞可以讓攻擊者在受影響的伺服器上遠端執行惡意指令（Remote Code Execution）或程式碼，進而造成系統入侵。

請各單位系統負責人完成清查，建議如下：
（一）請立即清查伺服器、內部系統及邊緣網絡設備中所有 PHP執行點，包括執行模式（PHP-FPM、mod_php、php-cgi）與具體版本號。
（二）請立即修補，PHP 官方已釋出 8.5.12、8.4.27、8.3.36、8.2.35安全更新。依系統環境與供應商公告，儘速完成修補。
（三）加強監控，檢查網站存取紀錄、異常程序、可疑檔案與資安告警，留意可能已存在的入侵跡象。
（四）無法立即修補的系統，應優先降低對外暴露。
必要時暫停服務或隔離系統，避免受到自動化掃描攻擊。若短期內無法升級，應將服務置於內部網絡、搭配VPN 或 IP 白名單存取，並考慮導入 WAF 阻擋異常請求。
（五）RCE 漏洞成功利用的表徵，通常是 PHP背景程式異常衍生出子行程。防守方應密切監控 php-fpm、php-cgi或網頁伺服器（Apache / Nginx）是否異常啟動系統 Shell（如sh、bash、cmd.exe、powershell.exe）、下載工具（如curl、wget、certutil.exe）或執行高風險偵察指令（如 whoami、id、uname）。

台灣駭客協會呼籲資安從業人員、系統管理者與技術社群，協助擴散漏洞相關資訊，並提醒身邊負責網站與系統維運的朋友們，儘速確認風險並採取行動。