【PHP 漏洞懶人包 2026】近期 PHP 漏洞有甚麼影響？｜受影響版本｜修補方法｜網站轉移限定優惠 2026-11-04 2026 年 10 月 21 日，PHP 官方發布安全更新，修補 CVE-2026-109618 及 CVE-2026-109619 兩項 Critical 安全漏洞。 根據 PHP 官方資料，兩項漏洞在特定條件下均可能導致未經身份驗證的 Remote Code Execution（RCE，遠端程式碼執行），PHP 官方建議使用者立即更新受影響的 PHP 環境。 [PHP 官方] 香港電腦保安事故協調中心 HKCERT 亦就相關漏洞發布保安公告， 將風險評級列為「極高度風險」，並建議機構立即為受影響資產套用修補程式。 [HKCERT] 今次 PHP 安全問題是甚麼？ 哪些 PHP 版本需要特別留意？ 是否所有 PHP 網站都存在相同風險？ 網站管理員可以採取哪些措施？ 除了 PHP 安全更新，網站還有哪些項目值得一併檢視？ PHP Website Migration 限定優惠 1. 今次 PHP 安全問題是甚麼？ 今次 PHP 官方公布的兩項主要漏洞，均與 PHP 處理請求時的記憶體及內部狀態管理有關。 1.1 CVE-2026-109618：RCE via OOM corruption 此漏洞涉及 PHP 處理記憶體不足（Out-of-Memory，OOM）情況時的內部狀態問題。 在特定情況下，部分 request memory 在尚未完整初始化時已暫時可以被存取。 如果此時發生記憶體分配失敗，PHP 可能未有妥善處理提前退出，令相關記憶體處於無效狀態。 其後的 request shutdown procedure 可能讀取或根據該記憶體執行操作，並可能導致 Remote Code Execution。 [GitHub Security Advisory] 1.2 CVE-2026-109619：RCE via stale global state PHP worker 會保留部分 global state，例如 error、session、object 及 extension state， 而當中部分狀態可能指向由個別 request 擁有的記憶體。 在特定情況下，如果相關狀態未能在 request memory 釋放前正確重設， 後續 request 可能在正常初始化完成前存取已失效的記憶體， 形成 use-after-free 情況，並可能導致 Remote Code Execution。 [GitHub Security Advisory] 簡單而言，這兩項漏洞的主要安全影響，在於特定受影響環境可能出現 未經身份驗證的遠端程式碼執行風險。 [PHP 官方] 2. 哪些 PHP 版本需要特別留意？ PHP 官方於 2026 年 10 月 21 日發布以下首批包含相關安全修補的版本： PHP 分支 首個包含修補的版本PHP 8.5 PHP 8.5 8.5.12 PHP 8.4 8.4.27 PHP 8.3 8.3.36 PHP 8.2 8.2.35 網站管理員應更新至上述修正版本，或所屬 PHP 分支現時可用的後續安全維護版本。 [PHP 官方] PHP 官方同時指出，PHP 8.1 及更舊版本已不再獲 PHP Project 正常提供更新。 部分 Linux distributions 或 LTS vendors 可能另外提供 backported fixes， 因此使用較舊 PHP 版本的網站，亦需要向相關作業系統、Hosting Provider 或技術供應商確認實際修補狀態。 因應今次漏洞的嚴重性，PHP Security Team 亦特別為 PHP 7.4、8.0 及 8.1 提供最低限度的 source backports， 協助自行從 source 建置或沒有 LTS vendor 支援的使用者。這項安排並不代表上述 PHP 分支已恢復正常官方支援。 [PHP Source Backport] 3. 是否所有 PHP 網站都存在相同風險？ 並不是。 PHP 官方指出，處理 Web Requests 的多種 PHP installations 都需要留意相關安全問題，包括： PHP-FPM Apache with mod_php php-cgi FrankenPHP LiteSpeed 不同 Server API、PHP 版本、系統配置及應用程式環境的攻擊條件與實際風險並不完全相同， 因此需要按網站的實際部署環境確認。 PHP 官方特別指出 mod_php 的風險最高，並已有 demonstrated exploit 顯示， 未經身份驗證的 request 可以在 application code 執行之前觸發相關問題。 [PHP 官方] 因此，企業毋須因為網站使用 PHP，便直接假設網站已經被入侵。更重要的是確認： 網站目前使用哪個 PHP 版本 系統是否已套用相應安全修補 Server / Hosting Environment 如何運行 PHP 作業系統或 Hosting Provider 是否已提供相關安全更新 網站本身的系統及應用程式是否仍然受支援 實際安全風險應按個別網站環境進行技術評估，而不能單憑 PHP 主版本號判斷。 4. 網站管理員可以採取哪些措施？ 針對相關 PHP 安全問題，企業或網站管理員應先確認網站目前的 PHP 執行環境及更新狀態。 1. 確認 PHP 版本 確認網站實際使用的 PHP 分支及版本，並核對是否屬於受影響版本範圍。 2. 更新至包含安全修補的版本 使用 PHP 8.2 至 PHP 8.5 的網站，應更新至相應的修正版本，或所屬分支現時可用的後續安全維護版本。 PHP 官方指出，更新至包含完整修補的 PHP 版本是完整的處理方法。 如果暫時無法更新，官方提供的設定調整只能降低部分特定攻擊路徑的風險，不能取代正式安全更新。 [CVE-2026-109618 Advisory] [CVE-2026-109619 Advisory] 3. 查看 Hosting / Server Provider 公告 如果網站使用 Managed Hosting、Cloud Hosting 或 Linux Distribution 提供的 PHP Package， 應同時查看相關服務商發布的 Security Advisory 及 Package Patch Status。 部分 Linux distributions 或 LTS vendors 可能透過 backported security fixes 處理漏洞， 因此不能只根據 PHP 顯示的版本字串判斷實際修補狀態。 4. 檢查舊版本的支援狀態 如果網站仍使用 PHP 8.1 或更早版本，應確認目前是否仍有 Linux Distribution、LTS Vendor 或 Hosting Provider 提供安全維護，並按實際情況考慮升級至受支援的 PHP 分支。 5. 更新後進行驗證 完成 PHP 或相關套件更新後，應按照 Hosting Provider、Linux Distribution 或系統管理指引， 重新啟動相關 PHP workers 或 Web Server 服務，並再次確認： 實際運行的 PHP 版本及 Patch Status PHP / Web Server 服務運行狀況 網站主要頁面及功能 Form、Database 及相關網站功能 CMS、Plugins / Extensions 的兼容情況 5. 除了 PHP 安全更新，網站還有哪些項目值得一併檢視？ 確認 PHP 版本及安全修補狀態後，如果網站已經運作一段時間， 企業亦可按實際情況同步檢視網站系統、設計及功能狀況。 ✓ 網站系統及 PHP 版本 確認 CMS、PHP、Plugins / Extensions 及相關組件目前的版本、更新及支援狀態。 ✓ 網站設計及 User Experience 檢視網站資訊架構、Navigation、CTA、版面設計及整體使用體驗。 ✓ Mobile Responsive Design 檢查網站在 Desktop、Tablet 及 Mobile 等不同裝置上的顯示及操作情況，包括文字、圖片、Menu、Form 及 CTA Button。 ✓ Basic SEO Setting 檢查 Page Title、Meta Description、Heading Structure 及其他基本 SEO 設定是否完整。 ✓ 網站功能及未來擴展需要 了解現有網站架構能否配合未來的內容更新、功能開發及第三方系統整合需要。 如果以上多個項目都有更新需要，企業可按現有網站的技術狀況、業務需求及維護安排， 進一步評估整體網站更新或 Website Migration。 6. PHP Website Migration 限定優惠 如果您的網站已經使用多年，並正計劃更新網站系統、設計及整體使用體驗， 可進一步了解我們的 PHP Website Migration Plan。 網站轉移 → 重新設計 → 正式上線 85 折限定優惠 HK$8,160 起 ✓ Professional UI Design 按網站內容及企業需要重新規劃網站版面及視覺設計。 ✓ Mobile Responsive Design 配合 Desktop、Tablet 及 Mobile 等不同裝置的瀏覽需要。 ✓ Basic SEO Setting 完成網站基本 SEO 設定，包括網站搜尋引擎所需的基礎設定。 立即進行 Website Checklist → 先了解現有網站狀況，再按實際需要評估合適的網站更新方案。 實際技術要求、Migration Scope、製作內容、開發時間及最終報價，需按個別網站及項目需要確認。
2026 年 10 月 21 日，PHP 官方發布安全更新，修補 CVE-2026-109618 及 CVE-2026-109619 兩項 Critical 安全漏洞。 根據 PHP 官方資料，兩項漏洞在特定條件下均可能導致未經身份驗證的 Remote Code Execution（RCE，遠端程式碼執行），PHP 官方建議使用者立即更新受影響的 PHP 環境。 [PHP 官方] 香港電腦保安事故協調中心 HKCERT 亦就相關漏洞發布保安公告， 將風險評級列為「極高度風險」，並建議機構立即為受影響資產套用修補程式。 [HKCERT] 今次 PHP 安全問題是甚麼？ 哪些 PHP 版本需要特別留意？ 是否所有 PHP 網站都存在相同風險？ 網站管理員可以採取哪些措施？ 除了 PHP 安全更新，網站還有哪些項目值得一併檢視？ PHP Website Migration 限定優惠 1. 今次 PHP 安全問題是甚麼？ 今次 PHP 官方公布的兩項主要漏洞，均與 PHP 處理請求時的記憶體及內部狀態管理有關。 1.1 CVE-2026-109618：RCE via OOM corruption 此漏洞涉及 PHP 處理記憶體不足（Out-of-Memory，OOM）情況時的內部狀態問題。 在特定情況下，部分 request memory 在尚未完整初始化時已暫時可以被存取。 如果此時發生記憶體分配失敗，PHP 可能未有妥善處理提前退出，令相關記憶體處於無效狀態。 其後的 request shutdown procedure 可能讀取或根據該記憶體執行操作，並可能導致 Remote Code Execution。 [GitHub Security Advisory] 1.2 CVE-2026-109619：RCE via stale global state PHP worker 會保留部分 global state，例如 error、session、object 及 extension state， 而當中部分狀態可能指向由個別 request 擁有的記憶體。 在特定情況下，如果相關狀態未能在 request memory 釋放前正確重設， 後續 request 可能在正常初始化完成前存取已失效的記憶體， 形成 use-after-free 情況，並可能導致 Remote Code Execution。 [GitHub Security Advisory] 簡單而言，這兩項漏洞的主要安全影響，在於特定受影響環境可能出現 未經身份驗證的遠端程式碼執行風險。 [PHP 官方] 2. 哪些 PHP 版本需要特別留意？ PHP 官方於 2026 年 10 月 21 日發布以下首批包含相關安全修補的版本： PHP 分支 首個包含修補的版本PHP 8.5 PHP 8.5 8.5.12 PHP 8.4 8.4.27 PHP 8.3 8.3.36 PHP 8.2 8.2.35 網站管理員應更新至上述修正版本，或所屬 PHP 分支現時可用的後續安全維護版本。 [PHP 官方] PHP 官方同時指出，PHP 8.1 及更舊版本已不再獲 PHP Project 正常提供更新。 部分 Linux distributions 或 LTS vendors 可能另外提供 backported fixes， 因此使用較舊 PHP 版本的網站，亦需要向相關作業系統、Hosting Provider 或技術供應商確認實際修補狀態。 因應今次漏洞的嚴重性，PHP Security Team 亦特別為 PHP 7.4、8.0 及 8.1 提供最低限度的 source backports， 協助自行從 source 建置或沒有 LTS vendor 支援的使用者。這項安排並不代表上述 PHP 分支已恢復正常官方支援。 [PHP Source Backport] 3. 是否所有 PHP 網站都存在相同風險？ 並不是。 PHP 官方指出，處理 Web Requests 的多種 PHP installations 都需要留意相關安全問題，包括： PHP-FPM Apache with mod_php php-cgi FrankenPHP LiteSpeed 不同 Server API、PHP 版本、系統配置及應用程式環境的攻擊條件與實際風險並不完全相同， 因此需要按網站的實際部署環境確認。 PHP 官方特別指出 mod_php 的風險最高，並已有 demonstrated exploit 顯示， 未經身份驗證的 request 可以在 application code 執行之前觸發相關問題。 [PHP 官方] 因此，企業毋須因為網站使用 PHP，便直接假設網站已經被入侵。更重要的是確認： 網站目前使用哪個 PHP 版本 系統是否已套用相應安全修補 Server / Hosting Environment 如何運行 PHP 作業系統或 Hosting Provider 是否已提供相關安全更新 網站本身的系統及應用程式是否仍然受支援 實際安全風險應按個別網站環境進行技術評估，而不能單憑 PHP 主版本號判斷。 4. 網站管理員可以採取哪些措施？ 針對相關 PHP 安全問題，企業或網站管理員應先確認網站目前的 PHP 執行環境及更新狀態。 1. 確認 PHP 版本 確認網站實際使用的 PHP 分支及版本，並核對是否屬於受影響版本範圍。 2. 更新至包含安全修補的版本 使用 PHP 8.2 至 PHP 8.5 的網站，應更新至相應的修正版本，或所屬分支現時可用的後續安全維護版本。 PHP 官方指出，更新至包含完整修補的 PHP 版本是完整的處理方法。 如果暫時無法更新，官方提供的設定調整只能降低部分特定攻擊路徑的風險，不能取代正式安全更新。 [CVE-2026-109618 Advisory] [CVE-2026-109619 Advisory] 3. 查看 Hosting / Server Provider 公告 如果網站使用 Managed Hosting、Cloud Hosting 或 Linux Distribution 提供的 PHP Package， 應同時查看相關服務商發布的 Security Advisory 及 Package Patch Status。 部分 Linux distributions 或 LTS vendors 可能透過 backported security fixes 處理漏洞， 因此不能只根據 PHP 顯示的版本字串判斷實際修補狀態。 4. 檢查舊版本的支援狀態 如果網站仍使用 PHP 8.1 或更早版本，應確認目前是否仍有 Linux Distribution、LTS Vendor 或 Hosting Provider 提供安全維護，並按實際情況考慮升級至受支援的 PHP 分支。 5. 更新後進行驗證 完成 PHP 或相關套件更新後，應按照 Hosting Provider、Linux Distribution 或系統管理指引， 重新啟動相關 PHP workers 或 Web Server 服務，並再次確認： 實際運行的 PHP 版本及 Patch Status PHP / Web Server 服務運行狀況 網站主要頁面及功能 Form、Database 及相關網站功能 CMS、Plugins / Extensions 的兼容情況 5. 除了 PHP 安全更新，網站還有哪些項目值得一併檢視？ 確認 PHP 版本及安全修補狀態後，如果網站已經運作一段時間， 企業亦可按實際情況同步檢視網站系統、設計及功能狀況。 ✓ 網站系統及 PHP 版本 確認 CMS、PHP、Plugins / Extensions 及相關組件目前的版本、更新及支援狀態。 ✓ 網站設計及 User Experience 檢視網站資訊架構、Navigation、CTA、版面設計及整體使用體驗。 ✓ Mobile Responsive Design 檢查網站在 Desktop、Tablet 及 Mobile 等不同裝置上的顯示及操作情況，包括文字、圖片、Menu、Form 及 CTA Button。 ✓ Basic SEO Setting 檢查 Page Title、Meta Description、Heading Structure 及其他基本 SEO 設定是否完整。 ✓ 網站功能及未來擴展需要 了解現有網站架構能否配合未來的內容更新、功能開發及第三方系統整合需要。 如果以上多個項目都有更新需要，企業可按現有網站的技術狀況、業務需求及維護安排， 進一步評估整體網站更新或 Website Migration。 6. PHP Website Migration 限定優惠 如果您的網站已經使用多年，並正計劃更新網站系統、設計及整體使用體驗， 可進一步了解我們的 PHP Website Migration Plan。 網站轉移 → 重新設計 → 正式上線 85 折限定優惠 HK$8,160 起 ✓ Professional UI Design 按網站內容及企業需要重新規劃網站版面及視覺設計。 ✓ Mobile Responsive Design 配合 Desktop、Tablet 及 Mobile 等不同裝置的瀏覽需要。 ✓ Basic SEO Setting 完成網站基本 SEO 設定，包括網站搜尋引擎所需的基礎設定。 立即進行 Website Checklist → 先了解現有網站狀況，再按實際需要評估合適的網站更新方案。 實際技術要求、Migration Scope、製作內容、開發時間及最終報價，需按個別網站及項目需要確認。
