加入 TWISA
選單

已遭利用2026 年 10 月 28 日（三）

PHP漏洞已遭利用：立即更新，並檢視網站與內部系統

CVE-2026-109618、109619已納入CISA KEV。尚未修補的PHP入口應立即更新；修補前曾暴露的系統，應保存紀錄、檢視入侵跡象，並追查服務帳號與資料存取。

下載 PDF回資安告警
01

內文

PHP兩項重大漏洞已有官方實際利用紀錄。 加拿大資安中心於2026/10/27更新公告，確認CISA於10/26將CVE-2026-109618與CVE-2026-109619納入KEV。兩筆CVE紀錄的CISA ADP也已將利用狀態列為active。企業應優先處理尚未修補的網站、API及內部後台。

兩項漏洞的PHP原廠CVSS v4.0均為9.2，安全公告發布於10/21。修補前曾對外開放或可由受侵內網接觸的服務，除了更新，也應檢視是否已留下持續存取、帳密遭取用或資料外流的跡象。

攻擊流程從PHP入口到資料與內部服務的可能攻擊路徑
  1. 01

    接觸未修補入口

    攻擊者能送請求至受影響網站、API或後台

  2. 02

    符合記憶體缺陷條件

    記憶體耗盡錯誤處理，或同一worker跨請求使用失效狀態

  3. 03

    以網頁程序權限執行

    可利用路徑可能導致程式碼執行，讀取設定與服務帳密

  4. 04

    擴大帳號與資料影響

    可能存取資料庫、寫入後門或連向內部資源

兩項漏洞的觸發條件與修補版本
  • CVE-2026-109618： 記憶體耗盡後的錯誤處理可能留下不正確記憶體狀態，原廠已在mod_php驗證未登入RCE。其他部署須依應用及執行環境確認路徑。
  • CVE-2026-109619： 前後請求須到同一worker，且有產生及使用失效狀態的實際操作。原廠在mod_php及FPM的特定路徑驗證RCE；登入畫面或輪替worker不能代替修補。
  • 修補版本： PHP 8.2分支升至8.2.35、8.3分支至8.3.36、8.4分支至8.4.27、8.5分支至8.5.12或其後安全版本。各分支低於對應修補版者應更新並重新啟動worker。內嵌PHP依產品原廠安全更新，停止支援分支安排遷移。

行動建議：從外部邊界查到內部核心

應變流程修補與侵害調查並行，讓服務可信恢復
  1. 01

    收斂入口並保存紀錄

    限制非必要入口，保存WAF、網站、主機與資料庫紀錄；疑似入侵依影響隔離

    看看能怎麼應對1項資源

    TWISA 會員方案

    收斂入口並保存紀錄

    在重建或清除檔案前保全主機、容器、存取日誌及時間線，確認修補前曝險期間，調查網站檔案、程序與帳號的異常變更。

  2. 02

    更新實際執行環境

    同步處理外部、內部、委外、容器與內嵌PHP；重啟並核對執行版本

    查看處理指引1項資源

    應對方式與指引

    更新實際執行環境

    同步處理外部、內部、委外、容器與內嵌PHP；重啟並核對執行版本

  3. 03

    檢視持續存取與帳號

    檢查未知PHP檔、排程、外連、帳號與資料讀取；依證據撤銷或輪替涉及帳密

    看看能怎麼應對2項資源

    TWISA 會員方案

    檢視持續存取與帳號

    關聯WAF請求、PHP錯誤、worker事件、主機程序、排程及外連，追查服務帳號登入、權限變更與異常大量資料讀取，協助確認受影響範圍。

  4. 04

    可信重建與複驗

    確認入侵時以可信映像重建，恢復前驗證修補、權限與業務功能

    看看能怎麼應對2項資源

    TWISA 會員方案

    可信重建與複驗

    對照清冊確認實際PHP與容器版本，於授權範圍測試網站、API及後端直連，複驗WAF請求、告警、阻擋及後端結果，追蹤修補與復原。

防禦架構入口阻斷、主機調查與核心資料保護

從服務入口、PHP執行環境到可讀帳密及資料盤點

業務連線依授權放行，各層分別落實防護

  1. 01

    網站與API入口

    外網、內部後台與可直連的後端

    看看能怎麼應對1項資源

    TWISA 會員方案

    網站與API入口

    針對HTTP請求評估入口限制與虛擬修補，核對規則版本、流量是否經過控制點及實際阻擋結果；內部直連與其他協定另行設計防護。

    限制可達範圍移除非必要曝險，依原廠規則評估WAF／IPS輔助阻斷，持續完成PHP更新

  2. 02

    PHP主機與容器

    網頁worker、映像、掛載目錄與維運權限

    看看能怎麼應對2項資源

    TWISA 會員方案

    PHP主機與容器

    依主機OS及容器可見範圍評估端點偵測與阻擋，保全可疑檔案及程序紀錄；容器重建同時檢查掛載資料、映像來源與主機，避免舊後門再次載入。

    移除持續存取檢查檔案、程序、排程及外連；EDR依支援OS與可見範圍部署

  3. 03

    核心帳號與資料庫

    設定檔帳密、服務帳號及可查詢欄位

    看看能怎麼應對2項資源

    TWISA 會員方案

    核心帳號與資料庫

    檢視服務帳號可讀資料表、敏感欄位與匯出紀錄，減少不必要明文；以資料庫稽核、欄位加密或遮罩配合解密權限分離，降低帳號遭取用後的影響。

    縮小讀取與解密權限最小權限、必要明文、欄位保護與金鑰權限分離；依證據追查匯出

各層日誌與流量，送往監控與應變流程

  1. 文件個資與對外資料先保全原始證據，再以複本辨識個資與規劃遮罩，追查報表、附件及備份存取
    看看能怎麼應對2項資源

    TWISA 會員方案

    文件個資與對外資料

    盤點網站可讀文件、報表、附件與備份中的個資，縮減副本及讀取權限；疑似事故先保全原始資料，再於複本辨識與遮罩，調查實際存取與外送範圍。

TWISA 會員方案

官方利用證據與延伸閱讀

歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。

通報更新日期：2026/10/28。產品支援與修補狀態以原廠最新資料為準。