[Diary Point=記者 嚴周勇] PHP被發現存在兩個嚴重漏洞，未經身分驗證的攻擊者可藉此遠端執行程式碼，目前官方已公開安全更新。PHP開發團隊建議所有處理網路請求的PHP環境立即進行更新。
PHP開發團隊於21日發布的安全公告中指出，PHP 8.5.12、8.4.27、8.3.36、8.2.35這幾個版本修復了CVE-2026-109618與CVE-2026-109619兩項漏洞。兩者在CVSS 4.0評分標準下皆被評為9.2分，均可在無需任何身分驗證的情況下導致遠端程式碼執行。
第一項漏洞源於在處理記憶體不足情況時，尚未完成初始化的內部請求資料可能被錯誤處理。第二項漏洞則是指某個請求相關的內部狀態在被釋放後仍殘留於記憶體中，並可能在後續請求中被重新使用。
可能受影響的環境幾乎涵蓋所有處理網路請求的PHP部署方式，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP以及LiteSpeed等。PHP開發團隊特別指出，在mod_php環境下風險更高，因為攻擊可能在應用程式碼執行之前，僅憑未經身分驗證的請求就被觸發。
維運人員應根據自己所使用的PHP版本系列，升級至相應的修補版本或更新版本。若使用的是Linux發行版或長期支援（LTS）作業系統供應商提供的軟體套件，也應確認相關供應商是否已套用對應的安全修補程式。
PHP 8.1及更早版本已不再獲得PHP專案官方的更新支援。部分發行版與長期支援供應商可能會單獨提供修補，但PHP開發團隊建議用戶向相關供應商確認，或升級至受支援的版本。PHP 8.2的安全支援將於2026年12月31日終止。
針對暫時無法立即更新的用戶，官方也公布了一些設定調整方案，但PHP開發團隊並不認為這些方案是完整的解決辦法。安全公告的核心建議仍是更新至修補版本；更新前採取的臨時措施只能降低特定攻擊路徑的暴露風險，並不能從根本上確保環境安全。