PHP 核心雙 RCE 漏洞 CVE-2026-109618／109619 提前外洩：近六成主機無修補可用，官方今晚 22:00 緊急更新
PHP 核心兩個遠端程式碼執行漏洞在修補發布前就被外洩，官方 CVSS 評分同為 9.2，並把緊急更新提前到台北時間 10 月 21 日晚間 22:00。但全球近六成 PHP 主機跑的是已停止支援的舊版本，根本等不到官方修補。
PHP 安全團隊 10 月 20 日罕見地發出「預告式」安全公告：PHP 核心存在兩個嚴重漏洞，將於 10 月 21 日 14:00 UTC（台北時間今晚 22:00）釋出緊急修補。之所以要提前一天預告，是因為漏洞資訊在原訂的協調揭露時程（10 月 22 日）之前就已外洩——攻擊者可能已經知道有漏洞可找，防守方卻還不知道細節。這兩個漏洞編號為 CVE-2026-109618 與 CVE-2026-109619，皆屬遠端程式碼執行（RCE），PHP 官方以 CVSS v4.0 評為 9.2 分（滿分 10 分，屬最高等級的 Critical）。
外洩經過：攻擊工具截圖先流出
事件始於 10 月 20 日 15:20 UTC，Hacker News 出現一則貼文，宣稱兩個 PHP RCE 漏洞即將揭露，同時流出一張名為「PHP2Shell」的攻擊工具截圖，橫幅宣稱可攻擊 PHP 5.4.0 以後所有版本。貼文隨後被刪除，但截圖已在 X 與 Mastodon 擴散。資安公司 watchTowr 隨後證實外洩屬實，並表示已在實驗室成功重現 CVE-2026-109618，但在修補釋出前不會公開技術細節。外洩迫使 PHP 官方把原訂 10 月 22 日的發布提前一天到今晚，並保留「若細節公開或出現實際攻擊，再進一步提前」的權利。截至目前，各方均表示尚未觀察到野外實際利用。
影響層面：近六成主機沒有官方修補可等
PHP 是全球網站的底層主力：依 W3Techs 統計，伺服器端語言可辨識的網站中約七成使用 PHP，WordPress、WooCommerce、Drupal、Magento（Adobe Commerce）、Shopware 等主流平台全都跑在 PHP 上，PHP 核心出問題，等於這些網站的共同地基出問題。
更棘手的是版本分布。資安業者 Mallory 統計約 150 萬台對外主機回報的 PHP 版本，其中 59% 執行 PHP 8.1 或更舊的版本，約 88 萬台主機跑的是已停止支援（EOL）的舊版。PHP 官方目前僅維護 8.2 以上版本，因此這近六成主機不會收到官方修補——即使今晚修補準時釋出，它們仍將暴露在風險中。受支援的 8.2、8.3、8.4、8.5 則會在今晚同步獲得修補版本（資安業者整理的預定版本為 8.2.35、8.3.36、8.4.27、8.5.12，實際以官方發布為準）。
如何修復：只能在伺服器層面升級
Sansec 特別提醒：這兩個漏洞位於 PHP 本身、在網站程式與防護軟體運行之前就生效，無法從網站程式碼或外掛層面修補，只能更新伺服器上的 PHP。具體做法：
- PHP 8.2 以上：今晚 22:00 修補釋出後立即升級到修補版本。Sansec 預估修補與細節公開後 15 分鐘內就可能出現大規模掃描攻擊，升級前先做好可還原的完整備份。
- PHP 8.1 或更舊：沒有官方修補，三條路——升級到受支援的版本（先在測試環境驗證外掛與佈景主題相容性）、要求主機供應商將修補回溯移植（backport），或在升級完成前先以 VPN、IP 白名單限制存取，無法限制的公開服務考慮暫時下線（CERT-EU 亦如此建議）。
- 使用託管主機的人：今天就聯絡主機商，確認對方是否已待命在修補釋出後第一時間套用，以及你的主機跑的 PHP 版本是否在受支援範圍內。
- 修補前這段空窗：留意網站伺服器是否冒出異常子程序、網站根目錄是否多出不明檔案，並預先備妥 WAF 規則，待官方細節公布後立即部署。
官方什麼時候解決
PHP 官方排定 2026 年 10 月 21 日 14:00 UTC（台北時間今晚 22:00） 釋出修補版本，屆時將一併公布完整技術細節、受影響版本與修補版本清單；若在此之前漏洞細節外流或出現實際攻擊證據，官方表示會再提前發布。對跑受支援版本的站長來說，今晚 22:00 就是解方落地的時間點；對近六成跑舊版的主機來說，「官方解決」不會自動到來，升級版本才是唯一的出路。
資料來源
- PHP 官方安全預告（Upcoming Critical PHP Security Release，php.net）
- Sansec：Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619
- watchTowr／BleepingComputer 相關報導
- Mallory：PHP RCE in 8.5 and Earlier 曝險統計
- CERT-EU 注意喚起公告
- CyberQ：PHP 核心雙 RCE 漏洞提前外洩應變指南