適用對象：任何在 PHP 上經營網站的人（自有伺服器、VPS、雲端、Docker 或共享主機），以及使用 WordPress、Laravel、EC-CUBE 等建置網站的人。本文依據 PHP 安全團隊的官方公告，以及公共機構與業者的聲明撰寫，不涵蓋任何攻擊方法。
發展中：本頁將隨更多資訊發布而更新
截至 2026 年 10 月 25 日（JST）；主機業者與作業系統套件以 2026 年 10 月 23 日 02:15 UTC 為準尚不明確
- 第三個問題 CVE-2026-115560 的受影響版本、CVSS 分數與修補發布版本（預計隨下一個定期版本發布）
- 實際環境中的利用情況（官方立場）以及是否發生任何入侵事件
- 其餘作業系統套件分支（RHEL 9 php:8.4、Debian testing forky）
- 尚未宣布完成的主機業者（KAGOYA、CPI 對於無修補版本的處理、Xserver 對 PHP 5.5 及更舊版本，以及其他業者）
PHP 安全團隊於 10 月 21 日發布修補，日本 IPA 與 JPCERT/CC 於 10 月 22 日發布警示。多數日本主要共享主機業者已宣布修補已套用。數家公司曾觀察到利用嘗試，但尚未宣布任何已確認的入侵事件。10 月 23 日，披露了第三個問題（CVE-2026-115560），該問題未被修補版本處理。PHP 團隊認為實際上不太可能發生，但建議在下一個定期版本發布前設定 session.upload_progress.enabled=0。待其餘作業系統套件與業者確認後，本頁將會更新。
修補版本與漏洞（來自 php.net）
2026 年 10 月 21 日，PHP 安全團隊在 php.net 發布安全公告（「Critical remote code execution vulnerabilities, update now」），並公布各分支的修補版本。
- 修補版本
- PHP 8.5.12、8.4.27、8.3.36、8.2.35
- CVE-2026-109618
- 記憶體不足的處理可能在內部請求資料僅部分初始化時中斷 PHP，之後請求清理程序可能將無效資料視為有效。可導致遠端程式碼執行（RCE）
- CVE-2026-109619
- 與請求相關的內部狀態，在其底層記憶體釋放後仍可能存活，同一工作程序之後處理的請求可能在初始化重設前使用這些過期狀態。可導致遠端程式碼執行（RCE）
- 嚴重性
- 兩者依 CVSS v4.0 皆為 9.2 分
- 風險對象
- 所有提供網頁請求服務的 PHP 安裝（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）。mod_php 風險最高，已有示範性攻擊，未經驗證的請求可在任何應用程式程式碼執行前觸發攻擊
- 8.1 及更舊版本
- PHP 專案不提供更新。已為 7.4、8.0 與 8.1 提供最小原始碼回移修補
- 發行版
- Linux 發行版與長期支援廠商已事先取得修補程式；請向廠商確認更新套件
- 緩解措施
- 目前沒有完整的緩解措施，更新是唯一安全的選擇（若暫時無法更新，請參閱下方方塊中的暫時性措施）
暫時無法更新時的暫時性措施（來自公告；無法使您安全）
PHP 團隊列出了在您能更新前可降低特定攻擊路徑的設定，但表示其中任何一項都無法使安裝變得安全。主要包括檢查 memory_limit 與 post_max_size 等請求大小限制、停用 session.upload_progress.enabled 並重新啟動工作程序，以及在 PHP 8.5 上停用 fatal_error_backtraces。這些條件相當重要，請在變更任何設定前閱讀官方公告，並優先進行更新。
修補版本未處理的第三個問題（CVE-2026-115560，10 月 23 日披露）
2026 年 10 月 23 日，PHP 安全團隊在 php.net 發布「Informational advisory: Session upload progress」，披露一個 10 月 21 日版本未修補的問題。此問題與兩個嚴重漏洞分開。
- CVE
- CVE-2026-115560。完整公告將隨下一個版本發布（截至 10 月 25 日，CVE 紀錄與 NVD 尚無條目）
- 條件
- 只有特殊的設定與應用程式程式碼組合才會受影響：設定將 session.serialize_handler 設為 php_binary 或 php_serialize；應用程式在呼叫 session_start() 前以 ini_set() 於執行階段切換為 php；且 session 上傳進度（session.upload_progress）仍然啟用。若應用程式從未在執行階段變更 serialize handler，則可保持此功能啟用
- 影響
- 可導致遠端程式碼執行（RCE）。團隊表示此設定「實際上不太可能」發生
- 緩解措施
- 在下一個定期版本發布前設定 session.upload_progress.enabled=0。10 月 21 日公告已將同一設定列為 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）的緩解措施；若您當時已套用，請保留設定，無需其他動作
- 修補
- 由於此設定情況不太可能發生，將透過定期發布流程處理，修補與完整公告會在下一個版本推出。未提供日期
- 尚未公布
- 受影響版本與 CVSS 分數
- 遭利用情況
- PHP 團隊的公告未提及遭利用
發布後（截至 2026 年 10 月 23 日 02:15 UTC）
- 發布時間
- GitHub 安全公告約於 13:34 UTC（22:34 JST）發布，較 14:00 UTC 的預定時間提早約 30 分鐘
- 受影響版本
- 依 GitHub 官方公告，為 8.2.35、8.3.36、8.4.27、8.5.12 以前的版本。CVE 紀錄列出 8.2 至 8.5，未提及 8.1 及更舊版本（團隊已為 7.4、8.0 與 8.1 提供原始碼修補）
- 已確認的影響（依公告）
- CVE-2026-109618：已在 mod_php 上確認未經驗證的遠端程式碼執行；依原始碼分析，PHP-FPM 可能受影響，但尚未示範完整攻擊。CVE-2026-109619：已在 mod_php 上確認遠端程式碼執行；另已透過 session 上傳進度路徑在 PHP-FPM 上驗證，此路徑取決於適當的應用程式操作
- 日本公共機構
- 10 月 22 日，IPA 發布「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（PHP 漏洞應對措施，日文），為其 10 月 21 日事前通知的後續。該文請使用者更新至修補版本（8.2.35、8.3.36、8.4.27、8.5.12）。對於已停止支援的 8.1 及更舊版本，請使用者移至受支援的 PHP，或移至已修補的產品或服務。若難以實施有效的暫時性措施，則請組織判斷是否需要阻擋外部存取或暫時停止服務。該文亦引用參與研究的一家資安公司之看法，認為 PHP 5.4 及之後版本至少受其中一個漏洞影響（為該公司的看法，非 PHP 團隊的聲明）。JVN 於同日 10:30 JST（01:30 UTC）發布 JVNVU#99905564，請使用者套用修補。JPCERT/CC 同日發布警示（JPCERT-AT-2026-0033），敦促儘速更新並檢查入侵跡象，另列出檢查入侵時應留意的項目
- CISA
- CISA 於 10 月 21 日發布警示，敦促組織立即修補。其表示「截至發布時，尚未觀察到這些漏洞遭利用」。對於無法立即更新或仍使用 PHP 8.1 或更舊版本的組織，CISA 建議將基於 PHP 的系統離線，直到可完成修補或更新。這些漏洞未列入已知遭利用漏洞（KEV）目錄（10 月 21 日版本）
- 實際環境中的利用
- PHP 團隊未發表聲明；CISA 表示截至其發布時尚未觀察到遭利用。CISA 在 CVE 紀錄中加註的利用評級，於 10 月 22 日更新後仍為「none」。一家大型雲端服務商的威脅情報團隊於 10 月 21 日表示，其蜜罐在 10 月 17 日（披露前四天）看到一次利用嘗試（貼文）。該團隊表示這些漏洞「目前正出現廣泛的實際利用嘗試」，但「不清楚這些嘗試是否會在真實系統上成功」。並建議至少從 10 月 17 日起進行調查。一家 CDN 服務商與數家資安公司也報告觀察到攻擊或探測流量（CDN 服務商、新聞摘要）。另一家資安公司於 10 月 22 日的更新中表示，公開的利用程式無法對預設的 PHP 安裝生效，大規模利用的可能性也低於原先的預期。在日本，Lolipop 與 Heteml 於 10 月 22 日表示，曾看到似乎鎖定這些漏洞的存取，但目前尚未確認由此造成的未經授權存取或資料外洩。截至 2026 年 10 月 23 日 02:15 UTC，尚未宣布任何已確認的入侵事件
- 作業系統套件
- Ubuntu 為所列的 26.10、26.04、24.04 與 22.04 版本提供修補。20.04 與 18.04 的修補需要 Ubuntu Pro；16.04 與 14.04 需要其 Legacy Support 附加元件（USN-8948-1、USN-8948-2）。Debian 已修補 13（DSA-6574-1）與 12（DLA-4848-1），sid 已有修補後的 8.4.27-1，而 testing（forky）仍為未修補的 8.4.26-1。Red Hat 已修補多個 RHEL 8–10 分支（評級為 Important，access.redhat.com），並於 10 月 21 日新增 RHEL 8 php:8.2（RHSA-2026:87073）。RHEL 9 php:8.4 仍無修補（10 月 22 日更新中標示為「Affected」）。RHEL 6 標示為「超出支援範圍」且無計畫修補，RHEL 7 受 CVE-2026-109619 影響且尚無修補。Alpine 已修補 8.5、8.4 與 8.3。若 PHP 來自作業系統套件，請立即套用廠商的更新
- Docker 官方映像檔
- latest、8.5、8.4、8.3 與 8.2 標籤（包括 -apache 與 -fpm 變體）皆指向修補版本（8.5.12、8.4.27、8.3.36、8.2.35）（hub.docker.com）。已停止支援的 8.1 及更舊版本標籤尚未更新。修補僅在您重新拉取映像檔並重建容器後生效
- NVD
- NVD 對兩者的自有評分為 CVSS 3.1 9.8（Critical）；PHP 團隊的評分為 CVSS v4.0 9.2（nvd.nist.gov）
- 修補不完整的說法
- 一則漏洞郵件討論群組(mailing list)上的貼文表示 8.5.12 的修補「可能不完整」。為 PHP 安全團隊發布公告的開發者於 10 月 22 日（09:11 UTC）在同一郵件討論群組回覆，稱這是一個「與之無關、影響極小的問題」（在不太可能的情境下，某個元件發生當機），並且「與 RCE 無關」（回覆）。php.net 的公告未有變動
- Windows
- 已提供修補版本的 Windows 版本
- remirepo
- PHP 團隊表示，由志願者維護的 rpms.remirepo.net 今日不會提供更新，並建議改用發行版套件或自行從原始碼建置
事前預告（10 月 20 日）
前一天，即 2026 年 10 月 20 日，PHP 安全團隊在 php.net 發布標題為「Upcoming Critical PHP Security Release」的預告，內容如下。
- 發布時間
- 2026 年 10 月 21 日（星期三）14:00 UTC（日本時間 23:00）
- 範圍
- 兩個嚴重漏洞
- 嚴重性
- 依 CVSS v4.0 皆為 9.2 分
- 請求
- 鼓勵所有 PHP 使用者現在先做好準備，以便版本釋出後能立即升級
- 提前發布
- 若任一漏洞的細節公開，或出現實際利用的證據，團隊可能提前發布
- 尚未公布
- 完整細節、受影響版本與修補版本，均將隨版本發布一併公布
- 當時的最新版本
- 8.5.11、8.4.26、8.3.35 與 8.2.34（2026 年 9 月 24 日的安全版本）
CVSS 以 0 至 10 分評估漏洞嚴重性，9.0 以上為最高的「Critical」級別（參見什麼是 CVSS）。日本 IPA 也於 10 月 21 日發布「請事先準備」的通知，請組織盤點使用 PHP 的程式。IPA 指出，PHP 不僅可用於網頁應用程式，也可能內建於軟體產品與網路設備之中。
誰負責更新 PHP：取決於您的架構
任何以 PHP 運作的網站都可能受影響，但實際由誰更新 PHP 因環境而異。若搞錯，可能產生「我以為業者會處理」或「我更新的 PHP 並非服務網站的那一個」等落差。
自有伺服器、VPS、雲端
由您更新（升級套件後重新啟動）
Docker（官方映像檔）
新標籤發布後，由您重建
發行版套件（Debian、Ubuntu、RHEL 等）
發行版回移修補，由您套用。版本號碼與上游不同
共享主機
由業者更新 PHP。您需確認所選的版本
| 環境 | 誰更新 PHP | 您要做什麼 |
|---|---|---|
| 自有伺服器、VPS、雲端伺服器 | 您 | 安裝修補版本（或發行版的修補套件），並重新啟動 PHP-FPM 或 Apache |
Docker 官方映像檔（php:8.4-fpm 等） | 映像檔維護者與您 | 修補標籤發布後，拉取新映像檔、重建您的映像檔並替換容器。請勿重複使用快取中的舊基礎映像檔 |
| 發行版套件（Debian、Ubuntu、RHEL 系列） | 發行版與您 | 查看發行版的安全公告，確認修補套件並套用。發行版僅回移修補，因此其版本號碼不會與 PHP 上游一致 |
| 共享主機 | 業者 | 在控制面板中確認各網站的 PHP 版本；若為 8.1 或更舊版本，請規劃切換；並至業者官方網站閱讀其公告 |
| 內建於產品或設備的 PHP | 廠商 | 查看廠商的安全公告（您可能無法看到內部的 PHP） |
WordPress 或 Laravel 的更新按鈕並不會更新 PHP 本身。更新應用程式與更新 PHP 是兩項獨立的工作。
安全地確認您的 PHP 版本
若可登入伺服器，請使用命令列
若您有 shell 存取權，以下指令會顯示 PHP 版本。
php -v不過，這是命令列（CLI）PHP 的版本。服務您網站的 PHP（PHP-FPM 或 Apache 模組）可能是另一個版本。同一台伺服器同時安裝 8.2 與 8.4 的情況並不罕見。請以下列方法或 PHP-FPM 服務名稱（例如 php8.4-fpm）檢查網頁端。
在 WordPress 中使用網站健康度
在 WordPress 後台開啟「工具」，然後是「網站健康狀態」，再切換到「資訊」分頁並展開「伺服器」。它會顯示實際執行網站的 PHP 版本，因此擁有管理員權限的人無需登入伺服器即可查看。
在共享主機上，使用控制面板
在共享主機上，控制面板的 PHP 版本設定會顯示各網域所選的版本。許多業者允許為每個網域選擇不同版本，因此請逐一檢查每個網域。
不要讓 phpinfo() 頁面留在線上
查看版本的一種方法是在公開目錄放置呼叫 phpinfo() 的檔案，但該頁面會列出 PHP 的版本、設定與內部伺服器細節。這會為攻擊者提供有用的目標資訊，因此用完即刪。若上述三種方法已足夠，請完全不要建立。如何找出被遺忘的檔案，請見留在公開目錄中的機密檔案。
更新前的準備
列出您的網站與伺服器
針對每個網站，在同一張表中記下其所在伺服器、PHP 版本（CLI 與網頁端）、由誰更新 PHP（您、業者或承包商），以及負責人的聯絡方式。請包括仍對外公開的測試環境與被遺忘的網站。被遺忘的網站正是最容易錯過更新的對象。方法請見安全盤點清單。
備份
備份檔案與資料庫，以便在更新導致網站故障時能夠還原。將備份存放在伺服器之外，並確認可以還原（備份與復原基本要點）。
設定維護時段與步驟
決定何時進行更新（包括深夜時段）、由誰執行，以及如何通知相關人員。若是自有伺服器，請記下更新指令、需重新啟動的服務，以及如何確認結果。若由承包商或代理商管理伺服器，請今天就確認由誰在何時更新。
若為已停止支援的分支，請規劃遷移
根據 php.net，PHP 8.1 的支援已於 2025 年 12 月 31 日結束，8.0 及更舊版本亦然。依 PHP 專案的支援政策，已停止支援的分支不會取得安全版本。本次同樣沒有發布官方版本（僅提供 7.4、8.0 與 8.1 的最小原始碼回移修補）；請規劃移至受支援的版本，8.2 至 8.5。8.2 的安全支援亦將於 2026 年 12 月 31 日結束，因此若現在就要遷移，8.3 或更新的版本是較安全的目標。
請勿急於使用未經官方認可的「修補」外掛或設定變通方法
在修補發布之前，常會出現聲稱可阻擋此問題的非官方外掛與設定變更。未列於官方公告中的方法無法驗證。唯一真正的修補，是 PHP 的修補版本（或您發行版的修補套件）。WAF（網頁應用程式防火牆）規則可爭取時間，但對於未經 WAF 而直接抵達伺服器的流量毫無作用。
更新至修補版本
修補版本為8.5.12、8.4.27、8.3.36 與 8.2.35（2026 年 10 月 21 日發布）。若您是從作業系統套件安裝 PHP，請使用您發行版提供的更新套件。
升級至您所屬分支的修補版本
請查看 php.net 的版本發布公告與 ChangeLog，確認您所屬分支（8.2、8.3、8.4 或 8.5）的修補版本，並升級至該版本或更新版本。若使用發行版套件，請查看您發行版的安全公告（Debian、Ubuntu、Red Hat 等），確認修補套件版本。若使用 Docker，請在修補標籤發布後拉取並重建。
重新啟動 PHP-FPM 與 Apache
升級套件並不會改變已在執行中的 PHP 程序。請重新啟動 PHP-FPM（例如 php8.4-fpm），若使用 Apache 的 PHP 模組，則也需重新啟動 Apache，以載入新的 PHP。
檢查第三個問題（CVE-2026-115560）的 session 設定
即使升級至 10 月 21 日的版本，此問題仍然存在。請檢查兩件事。
- 設定檔（php.ini 等）是否將 session.serialize_handler 設為 php_binary 或 php_serialize，且應用程式程式碼是否以 ini_set() 將其切換為 php（在程式碼中搜尋
session.serialize_handler是找出此情況的快速方法） - session.upload_progress.enabled 是否仍為開啟（預設即為開啟；CLI 的
php -i結果可能與網頁端不同，因此也請檢查 PHP-FPM 的 pool 與服務該網站之 PHP 的設定）
若兩項條件皆成立，或無法判斷，請在下一個定期版本發布前設定 session.upload_progress.enabled=0。請將其設定在啟動時讀取的位置，例如 php.ini、PHP-FPM 的 pool 或網頁伺服器設定，並重新啟動每個工作程序（10 月 21 日公告表示應以管理方式設定 session.upload_progress.enabled=0，並重新啟動每個工作程序）。此功能用於回報檔案上傳的進度；若您的網站有顯示上傳進度，請於設定後確認其仍能運作。若您已依 10 月 21 日公告將其停用作為暫時性措施，請維持現狀。在日本的共享主機中，Heteml 與 Lolipop 已停用此功能。
在命令列與網頁端皆確認版本
除了 php -v，也請使用 WordPress 網站健康度或 PHP-FPM 服務狀態，確認服務網站的 PHP現在為修補版本。若伺服器安裝了多個 PHP 版本，請逐一檢查。
確認網站運作正常，且沒有異常
檢查重要頁面、登入、聯絡表單與付款功能。若您擔心網站在修補前已遭攻擊，請檢查是否有不明檔案、額外的管理員帳號與頁面遭竄改。一家大型雲端服務商於披露前四天（10 月 17 日）看到利用嘗試，並建議至少從該日期起進行調查。JPCERT/CC 的警示也列出了應檢查的項目。檢查方法請見如何確認您的網站或伺服器是否遭入侵。
共享主機使用者須知
在共享主機上，業者會在伺服器上安裝並管理 PHP。使用者無法自行安裝修補版本。
業者的工作
- 將伺服器上安裝的 PHP 更新至修補版本
- 必要時套用暫時性防護或緊急維護
- 在官方網站與社群媒體發布狀態更新
您的工作
- 在控制面板中檢查各網域所選的 PHP 版本
- 若為 8.1 或更舊版本，請先測試，再切換至較新的版本
- 透過官方網站閱讀業者公告，而非透過電子郵件連結
- 同時保持 WordPress 核心、外掛與佈景主題為最新版本
業者端的緊急維護可能會使控制面板暫時無法使用。請及早完成您的檢查，以免在該時段才需要切換 PHP 版本。
業者回應（本站於 2026 年 10 月 23 日 02:15 UTC 確認）
許多業者表示已完成修補的套用。截至 2026 年 10 月 23 日 02:15 UTC（日本時間 11:15），KAGOYA 尚未宣布完成。CPI 要求使用無修補版本的客戶套用緩解措施或切換至已修補的版本。未發現 Rakko Server 或 WADAX 有關 PHP 的通知。以下時間皆為日本時間（JST）。
| 業者 | 官方公告 | 內容 |
|---|---|---|
| Xserver（日本） | 基於預防性安全措施暫停官方網站與控制面板的通知（截至 10 月 22 日 20:10 的狀態，日文） | 對其提供的各 PHP 版本套用官方修補或自行修補。PHP 8.2–8.5 於 10 月 22 日 06:45 完成所有目標伺服器的套用，7.4–8.1 於 12:00，5.6–7.3 於 14:00。對於 PHP 5.5 及更舊版本，修補仍在「製作與驗證中」。自 20:10 起依序重新開放服務網站；官方網站、控制面板、網頁郵件、API/MCP 與聯絡表單已恢復（部分功能，例如舊版網頁郵件，仍在維護中）。依客戶使用情況，可能要求部分客戶進行進一步步驟。表示此舉並非因未經授權存取所致 |
| Sakura 租賃伺服器（日本） | PHP 漏洞應對狀況（10 月 22 日，日文） | 已對控制面板中可選的每個 PHP 版本套用修補；無需客戶採取緊急行動。亦建議改用最新的受支援 PHP。部分服務使用的網頁郵件已於 10 月 22 日 13:45 恢復，phpMyAdmin 於 15:15 恢復（維護通知）。10 月 21 日的緊急維護（n-2697）已於 10 月 21 日 22:30 結束 |
| mixhost（日本） | 【已完成】PHP 重大漏洞應對（10 月 22 日，日文） | 約於 10 月 22 日 10:18 在所有伺服器套用修補套件，涵蓋 PHP 5.2–8.5。版本號碼不會改變（例如 8.4.26 仍為 8.4.26）。無需客戶採取行動。10 月 21 日 22:10 起的 My Page 維護也已結束 |
| ColorfulBox（日本） | 公告（10 月 22 日，日文） | 預先防護與修補版本的更新已於 10 月 22 日上午在所有伺服器（共享、商業、Tada Server 與專用伺服器）全部完成，包括 7.4、8.0 與 8.1。採原地更新，保留您使用的 PHP 版本；無需客戶採取行動 |
| XREA、VALUESERVER、CORESERVER、One Rental Server（日本） | XREA、VALUESERVER、CORESERVER V1 / V2、One（日文） | 五項皆已完成。XREA、VALUESERVER 與 CORESERVER V1 於 10 月 22 日 00:50 完成，其更新公告表示所提供的每個 PHP 版本（5.3–8.5）皆已修補。One Rental Server 於 10:20 完成（5.6–8.5），CORESERVER V2 於 11:13 完成（5.2–8.5）。使用者無須變更 PHP 版本 |
| Heteml（日本） | PHP 漏洞維護已完成，以及經過說明、【已完成】維護通知（10 月 22 日 18:05，日文） | 客戶網站於 10 月 22 日 11:24 恢復，所有服務於 18:05 全部恢復。PHP 8.2–8.5 取得官方修補版本，7.4、8.0 與 8.1 取得 PHP 團隊針對已停止支援分支的修補，5.6–7.3 則取得業者基於官方修補所做的修補。在所有版本上，此措施會停用一項功能（session.upload_progress），並請客戶確認網站運作正常，且移至 8.2 或更新版本。在修補套用前，約自 10 月 22 日 03:05 起，部分伺服器上的網站已被停止 |
| Lolipop（日本） | PHP 漏洞維護已完成，以及經過說明、【已完成】維護通知（10 月 22 日 16:57 更新，日文） | 客戶網站約於 10 月 22 日 13:00 恢復，所有維護於 16:57 完成。PHP 8.2–8.5 取得官方修補版本，7.4、8.0 與 8.1 取得 PHP 團隊針對已停止支援分支的修補，5.3–7.3 則取得業者基於官方修補所做的修補。所有版本皆停用一項功能（session.upload_progress），並請客戶確認網站並移至 8.2 或更新版本。在修補套用前，約自 10 月 22 日 03:09 起，部分伺服器上的網站已被停止 |
| KAGOYA（日本） | PHP 漏洞對其服務的影響（10 月 22 日 18:15 更新，日文） | 其租賃伺服器（PHP 7.4 與 8.1–8.5）表示正在進行修補版本的更新，預計於 10 月 22 日 24:00 完成。截至 10 月 23 日 11:15 尚未找到完成通知。對於受管理的專用、共享與 WordPress 方案，永久性修補仍在安排中，並請客戶考慮暫時將網站離線（切換至維護頁面）或限制存取，作為暫時措施。其 10:35 的更新表示，尚未確認任何攻擊或資料外洩等損害。自 10 月 22 日 14:15 起，其網頁郵件、會員網站與控制面板亦進行安全維護，但未提供結束時間 |
| ConoHa WING（日本） | PHP 漏洞應對已完成（最終報告）（10 月 22 日，日文） | 截至 10 月 22 日 20:45，所有伺服器已套用安全修補，緊急維護亦同時結束。所提供的每個 PHP 版本皆以僅納入修補、不提升版本的方式套用修補，WordPress 網站健康度等畫面可能仍顯示舊版號碼（例如 8.5.11）。客戶無須變更版本。網頁郵件與檔案管理員約於 18:30 恢復，phpMyAdmin 也已恢復 |
| Onamae.com 租賃伺服器（日本） | PHP 漏洞應對已完成（10 月 22 日，日文） | 內容與 ConoHa WING 相同：截至 10 月 22 日 20:45 已套用修補（Basic、RS 方案與 AI Homepage Pack）。所提供的每個 PHP 版本皆僅納入修補，因此顯示的版本號碼可能未變。客戶無須變更版本。網頁郵件與檔案管理員約於 18:30 恢復，phpMyAdmin 也已恢復 |
| CPI（日本） | 因 PHP 漏洞暫停服務網站與控制面板的通知（10 月 23 日 09:55 更新，日文） | 已提供最新修補的版本已完成（例如 SV-Basic 的 8.2 與 8.3，Business Standard 的 8.2–8.4）。其他版本則請客戶考慮套用緩解措施並切換至已修補的 PHP 版本（舊方案請考慮套用緩解措施）。服務網站於 10 月 22 日 21:00 重新開放，控制面板約於 17:00 重新開放；安全檔案管理員與部分其他工具預計 10 月 30 日之後恢復。表示未確認任何未經授權存取，或利用這些漏洞的攻擊 |
| Rakko Server（日本） | 官方網站（日文） | 自 10 月 21 日 19:00 起，為預防起見暫停服務網站（表示未發現未經授權存取）。網站已恢復，但截至 10 月 23 日 11:15 未發現有關 PHP 的通知 |
| WADAX（日本） | 官方網站（日文） | 10 月 22 日查看時，整個網站因安全因素暫停，直到確認安全為止。截至 10 月 23 日 11:15 網站已恢復，但未發現有關 PHP 的通知 |
各業者的完成通知措辭不同。請查看您業者的通知，確認涵蓋哪些 PHP 版本，以及您是否需要採取任何行動。部分業者（如 ConoHa WING、Onamae.com 與 mixhost）僅納入修補，因此 PHP 版本號碼不會改變。請勿僅憑版本號碼判斷網站是否未修補，應查看業者的通知。其他業者的通知將於確認後補充。
留意偽裝成主機業者的詐騙郵件
當漏洞或緊急維護成為新聞時，假冒主機或網域業者的詐騙郵件（「為緊急維護請重新登入」、「您的帳號將被停用」）會更加常見。請勿透過郵件連結登入。請透過您自行收藏的官方網站或業者的官方社群帳號進行確認。如何辨識這類郵件，請見什麼是網路釣魚。若業者本身遭入侵，應如何因應，請見當您的主機業者遭入侵時。
發布前的報告
2026 年 10 月 21 日的官方公告確認了 CVE 編號（CVE-2026-109618、CVE-2026-109619），以及兩者皆為遠端程式碼執行（RCE）漏洞。下表列出發布前所報導的內容；實際環境中的利用，目前仍未獲官方確認。
發布前，媒體與資安公司轉述了數項說法。這些說法均非 PHP 安全團隊的官方聲明。本站並未依據這些說法變更建議的步驟。
| 說法 | 來源 | 狀態 |
|---|---|---|
| 漏洞細節在預定發布前外洩 | 一家資安公司（向新聞媒體表示） | 未經確認 |
| 兩者皆為遠端程式碼執行（RCE）漏洞 | 資安公司，以及 CERT-EU（歐盟機構的 CSIRT） | 已由 10 月 21 日公告確認 |
| CVE 編號（CVE-2026-109618、CVE-2026-109619） | 資安公司、媒體、CERT-EU | 已由 10 月 21 日公告確認 |
| 自 PHP 5 起的廣泛版本受影響 | 資安公司、CERT-EU | 未經確認（GitHub 公告涵蓋各修補版本之前的版本，未說明下限；已提供 7.4/8.0/8.1 的回移修補）。IPA 於 10 月 22 日的警示引述一家參與研究的資安公司之說法，認為 PHP 5.4 及之後版本受影響 |
| 未觀察到利用 | 一家資安公司（向新聞媒體表示） | 此為該來源自身的看法 |
| 觀察到攻擊跡象 | 一家 CDN 服務商的主管、另一家資安公司（引用主機合作夥伴的報告），以及一家大型雲端服務商 | 一家 CDN 服務商於 13:56 UTC 的貼文表示觀察到攻擊流量，一家大型雲端服務商表示自 10 月 17 日起看到利用嘗試（見「發布後」）。尚無公共機構確認 |
各來源對於利用情況的看法不一。IPA 在 10 月 21 日的事前通知中表示，當時尚未確認針對這些漏洞的攻擊。CISA 也在 10 月 21 日的警示中表示，截至發布時尚未觀察到利用。另一方面，一家大型雲端服務商表示，其在披露前的 10 月 17 日看到利用嘗試。無論是否已開始利用，應採取的行動都相同：立即更新至修補版本。
本站的看法：今天要決定的是誰來更新，以及何時更新
修補版本已經發布。剩下的是決定由誰、何時更新，並且執行。常見的落差往往不在技術，而在責任歸屬。由代理商建置的網站、由已離職者架設的 VPS、無人記得的測試伺服器：沒有指定負責人的 PHP，最容易長期停留在舊版本。如何判斷嚴重性，請見如何排定漏洞優先順序（CVSS、EPSS、KEV）；揭露後的步驟，請見漏洞公布後該做什麼。
時間軸
2026 年 9 月 24 日
PHP 8.5.11、8.4.26、8.3.35 與 8.2.34 以安全版本發布（預告時的最新版本）。10 月 17 日（10 月 21 日公布）
一家大型雲端服務商的蜜罐看到利用嘗試，為披露前四天。10 月 20 日
PHP 安全團隊在 php.net 宣布將於 10 月 21 日 14:00 UTC 發布安全版本。兩個漏洞依 CVSS v4.0 皆評為 9.2 分。同日，據報導一家資安公司向新聞媒體表示細節已外洩。10 月 21 日
IPA 發布其「請事先準備」的通知。Xserver 自 16:00 JST 起暫停官方網站與控制面板的存取。10 月 21 日
PHP 安全團隊發布 8.5.12、8.4.27、8.3.36 與 8.2.35 及安全公告。表示 CVE-2026-109618 與 CVE-2026-109619 皆可能允許未經驗證的遠端程式碼執行，並敦促所有人立即更新。10 月 21 日
CISA 發布警示，敦促立即修補，並表示截至發布時尚未觀察到利用。10 月 22 日
Xserver（8.2–8.5）、Sakura、mixhost、ColorfulBox、Value Domain 集團服務、Heteml、Lolipop 等宣布已套用修補。JVN 發布 JVNVU#99905564，IPA 發布關於 PHP 漏洞應對措施的警示，JPCERT/CC 發布警示（JPCERT-AT-2026-0033）。10 月 22 日（晚間，JST）
ConoHa WING 與 Onamae.com 表示截至 20:45 JST 已套用修補。Xserver 於 14:00 JST 前完成 PHP 5.6–8.5，並於 20:10 JST 重新開放官方網站。KAGOYA 表示預計於 24:00 JST 完成其租賃伺服器。10 月 23 日
PHP 安全團隊披露第三個問題（CVE-2026-115560），未被 10 月 21 日版本修補。團隊認為此問題實際上不太可能發生，並建議在下一個定期版本發布前設定 session.upload_progress.enabled=0。
資料來源（公開紀錄）
本文所述事實係以下列公開資訊為依據。PHP 未正式公布的項目（例如實際環境中的利用），均已註明來源為媒體或資安公司，並標示為未經確認。
- PHP 安全團隊，「Security advisory: Critical remote code execution vulnerabilities, update now」（2026 年 10 月 21 日）— php.net
- PHP 安全團隊，「Informational advisory: Session upload progress」（CVE-2026-115560，2026 年 10 月 23 日）— php.net
- CVE-2026-109618 的 GitHub 安全公告 — github.com
- CVE-2026-109619 的 GitHub 安全公告 — github.com
- ChangeLog（8.5.12、8.4.27、8.3.36、8.2.35）— php.net
- PHP，「Upcoming Critical PHP Security Release」（2026 年 10 月 20 日）— php.net
- PHP 首頁（預告時的最新版本：8.5.11、8.4.26、8.3.35、8.2.34）— php.net
- PHP，「Supported Versions」— php.net
- PHP，「Unsupported Branches」（8.1 停止支援日：2025 年 12 月 31 日）— php.net
- php-src 安全公告（GitHub）— github.com
- IPA，請求事先準備 PHP 安全版本的通知（2026 年 10 月 21 日，日文）— ipa.go.jp
- IPA，「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026 年 10 月 22 日，日文）— ipa.go.jp
- JVN，JVNVU#99905564，多個允許任意程式碼執行的 PHP 漏洞（2026 年 10 月 22 日，日文）— jvn.jp
- JPCERT/CC，多個 PHP 漏洞警示（CVE-2026-109618、CVE-2026-109619）（JPCERT-AT-2026-0033，2026 年 10 月 22 日，日文）— jpcert.or.jp
- CISA，「Critical Vulnerabilities in PHP Require Immediate Patching」（2026 年 10 月 21 日）— cisa.gov
- Xserver Inc.，基於預防性安全措施暫停服務的通知（2026 年 10 月 22 日；截至 20:10 JST 的狀態，日文）— xserver.ne.jp
- 一家大型雲端服務商的威脅情報團隊：披露前自 10 月 17 日起的利用嘗試（2026 年 10 月 21 日）— aws.amazon.com
- PHP 安全團隊開發者對「修補不完整」說法的回覆（2026 年 10 月 22 日）— openwall.com
- 主機業者的完成通知：ConoHa WING / Onamae.com / Lolipop / Heteml（皆為 2026 年 10 月 22 日，日文）
- CERT-EU，「Security Advisory 2026-018: Critical Vulnerabilities in PHP」（未經確認說法的來源）— cert.europa.eu
- 媒體報導：一家資安公司對外洩的說明，以及其認為未觀察到利用的看法（BleepingComputer，2026 年 10 月 20 日）— bleepingcomputer.com
- 媒體報導：第三個問題（CVE-2026-115560）的緩解措施（BleepingComputer，2026 年 10 月 23 日）— bleepingcomputer.com
- 資安公司警示：來自主機合作夥伴的攻擊報告（2026 年 10 月 21 日）— patchstack.com
- CDN 服務商主管的貼文：早期攻擊與 WAF 規則（2026 年 10 月 21 日；引用於上述警示）— x.com
- 資安公司快速回應：合作夥伴系統上未觀察到實際環境中的利用（截至 2026 年 10 月 21 日）— huntress.com
- 資安公司分析文章（報導的 CVE 編號、類型與範圍）— sansec.io / tenable.com
- 發行版安全公告：Debian security-tracker.debian.org / Ubuntu ubuntu.com / Red Hat access.redhat.com（RHEL 8 php:8.2：RHSA-2026:87073）
- Docker 官方映像檔（php）— hub.docker.com
更新紀錄
2026-10-25：新增 PHP 安全團隊於 10 月 23 日披露的第三個問題（CVE-2026-115560，未被 10 月 21 日版本修補）：其條件、緩解措施（session.upload_progress.enabled=0）與預定修補，並新增供管理員檢查設定的步驟。更新了摘要、狀態方塊、常見問題、時間軸與資料來源。
2026-10-23（02:15 UTC）：新增一家大型雲端服務商關於自 10 月 17 日起利用嘗試的報告（不確定是否有任何嘗試成功）、日本業者關於似乎鎖定漏洞之存取的報告（未確認損害），以及目前尚未宣布任何已確認入侵事件；新增自 10 月 17 日起檢查日誌的建議。新增 PHP 安全團隊開發者對「修補不完整」報告無關的回覆。更新作業系統套件（Debian sid 已修補、RHEL 9 php:8.4 仍未修補、RHEL 6 無修補計畫）與主機狀態（ConoHa WING、Onamae.com、Lolipop 與 Heteml 已完成；Xserver 已完成 PHP 5.6–7.3；Value Domain 集團服務涵蓋的版本；KAGOYA 與 CPI 狀態）。
2026-10-22（04:45 UTC）：標題改為突發新聞格式，並新增 IPA 警示、JPCERT/CC 警示（JPCERT-AT-2026-0033）、JVNVU#99905564 與 CISA 警示。更新利用報告（仍無已確認入侵）、作業系統套件（新增 RHEL 8 php:8.2；RHEL 9 php:8.4 與 Debian 開發分支待定）、Docker 官方映像檔，以及共享主機完成狀態（Xserver、Sakura、mixhost、ColorfulBox、Value Domain 集團服務、Heteml 等）。
2026-10-21（21:30 UTC）：更新利用報告（已觀察到嘗試，無已確認入侵）、作業系統廠商的修補套件、Docker 官方映像檔已修補、NVD 評分、未經確認的「修補不完整」說法，以及主機更新（Xserver 開始套用修補，新增 WADAX）。
2026-10-21（14:30 UTC）：新增一家 CDN 服務商觀察到攻擊流量的報告、Ubuntu 的修補套件（USN-8948-1）、NVD 條目，以及 Docker 官方映像檔的狀態。
2026-10-21（14:10 UTC）：新增發布後狀態（發布時間、受影響版本、公告中已確認的影響、官方尚未就利用情況表態、作業系統套件、Docker 官方映像檔、remirepo），以及 21:00 JST 後的主機更新（新增 CPI 與 mixhost、Xserver 常見問題、Sakura 完成）。
2026-10-21（發布後）：反映 PHP 安全團隊 10 月 21 日的公告（修補版本、CVE 編號、漏洞性質、風險對象、8.1 及更舊版本的處理方式、暫時性措施），並改寫標題與重點摘要。
2026-10-21：初版，依據 PHP 安全團隊 10 月 20 日的通知、IPA 的事前準備通知與 Xserver 的通知撰寫。CVE 編號、受影響版本與修補版本編號將於發布後補充。
延伸閱讀
- 網站是否遭攻擊：如何確認您的網站或伺服器是否遭入侵
- 業者遭入侵時：當您的主機業者遭入侵時 / ConoHa WING 未經授權存取事件
- 共享主機設定：在共享主機上保護 .env
- WordPress 與 Laravel：WordPress 安全 / Laravel 安全
- 事前準備：備份與復原基本要點 / 安全盤點清單
- 同週的另一個嚴重修補：GitLab CVE-2026-110264（含 Ruby 正規表示式修補）
- 名詞解釋：什麼是 RCE（遠端程式碼執行） / 什麼是 CVSS