你每天使用的購物網站、會員系統，背後可能都仰賴 PHP 運作。
2026 年 10 月 21 日，PHP 官方公布兩個重大漏洞，編號分別為 CVE-2026-109618 與 CVE-2026-109619，同時釋出了修補版本。PHP 是很多網站背後使用的程式語言。這兩個漏洞讓攻擊者不需要登入，就可能從遠端操控網站的伺服器。
對一般消費者來說，這不代表手機或電腦會直接中毒，但常用網站可能因此面臨服務中斷、資料外洩等風險。此外，詐騙集團可能趁著重大資安事件，假冒網站或服務業者發送「漏洞更新」「帳號安全異常」通知，誘騙使用者點擊連結、輸入個資。
如果你是自架網站的中小企業主，現在更應該確認網站使用的 PHP 版本，以及是否已完成安全更新。別等到網站出問題，才發現系統還存在已知漏洞！
PHP 漏洞是什麼？為什麼這次需要特別留意？
PHP 是一種常見的網站程式語言，許多網站會用它處理會員登入、商品資訊、訂單查詢等功能。根據統計網站技術的 W3Techs 指出，在已知使用哪種伺服器端語言的網站中，有 69.3% 使用 PHP，代表這類漏洞可能牽涉不少網站。
這次公布的兩個漏洞，可能讓攻擊者不必先取得帳號密碼，就能從遠端執行惡意程式碼，進而影響網站伺服器。對網站經營者來說，這不只是技術問題，也可能牽涉網站營運、客戶資料與品牌信任。
漏洞嚴重程度通常會以 CVSS（通用漏洞評分系統）衡量，分數介於 0 至 10 分，分數越高，代表漏洞風險越嚴重。這次兩個漏洞的評分都是 9.2 分，屬於重大等級。
PHP 官方已釋出修補版本，並指出更新是處理這次漏洞的必要措施。簡單來說，如果你的網站使用受影響的 PHP 版本，就應該盡快確認更新狀況。
對一般使用者有什麼影響？
先說結論：這次漏洞主要影響網站伺服器。 不過，如果你使用的網站遭到攻擊，仍可能間接受到影響，像是：
- 常用的網站可能暫停服務：如果網站業者需要緊急更新系統，可能暫時關閉網站或部分功能。遇到無法登入、訂單查詢失敗等情況，可以先查看官方網站或 App 的公告，確認是否為系統維護。
- 個資可能外洩：沒更新的網站一旦被攻擊，內容可能被竄改，會員資料也可能被偷走。
- 熟悉的網站也可能變危險：網站遭到入侵後，可能被植入惡意程式，或出現誘導下載檔案、輸入帳密的假頁面。如果頁面突然跳出異常警告、要求下載不明檔案，或要求重新登入並提供敏感資料，先不要照著指示操作，應改從官方管道確認。
小心「漏洞更新」詐騙
截至 2026 年 10 月 22 日，目前尚未查到公開資料證實詐騙集團已利用這次 PHP 漏洞發動詐騙。不過，重大資安事件容易成為網路釣魚的話術素材，一般消費者與企業主都應提高警覺。
常見的話術可能包括：
- 「系統發現重大漏洞，請於 24 小時內重新登入」：利用限時要求製造壓力，誘騙你進入假網站輸入帳密。
- 「服務已恢復，請立即重設密碼」：假冒網站業者發送通知，將你導向釣魚頁面。
- 「請下載最新修補程式，確保裝置安全」：以安全更新為名，誘導你下載惡意檔案。
不只一般消費者要小心，如果你是中小企業主，也要留意假冒主機商、網站維護廠商或資安服務業者的通知，尤其是要求下載工具、提供管理員帳密，或立即付款處理漏洞的訊息。
寄件者名稱、電子郵件地址與公司標誌都可能被仿冒。收到通知時，請自行開啟官方網站、使用已儲存的書籤、或撥打原本就知道的客服電話確認，不要直接點擊訊息中的連結。
現在就能做的 4 件事
這個漏洞影響的是網站，而身為一般使用者的你，還是可以先做好準備，降低個資外洩或相關詐騙的風險。
- 更改密碼：如果你常用的網站通知你，他們受到這次漏洞影響，請盡快修改密碼。改密碼時請從官方 App 或自己存的書籤進入網站。
- 小心詐騙：詐騙集團可能趁機出手，傳簡訊或 email 說有資安問題，要你點連結處理。寄件人名稱和 email 地址都能偽造，就算看起來像熟悉的公司，也先別點。請直接到官方網站，或打官方客服電話確認。懷疑是詐騙時，可以撥打 165 反詐騙諮詢專線。
- 幫裝置做健康檢查：確認每台手機、電腦上的 App 和防毒軟體都已更新到最新版本。更新通常會修補已知的安全漏洞，被竄改的網站想植入惡意程式也比較難得手。
- 用工具保護自己： 趨勢科技 AI 防詐達人可以幫你檢查可疑訊息。手機可以用趨勢科技行動安全防護，筆電和桌機可以用 PC-cillin 雲端版，幫你守住安全。
如果你自己經營網站
請盡快把 PHP 更新到修補版本：8.2.35、8.3.36、8.4.27 或 8.5.12，看你目前用的是哪一版。
還在用 8.1 或更舊版本的話，PHP 官方已經停止維護，不會再發布正式的修補版本。建議直接升級到 8.3 以上，因為 8.2 的安全性支援也只到 2026 年 12 月 31 日。
不確定版本或沒辦法自己更新，今天就問網站主機商或維護廠商：「我們的 PHP 是哪個版本？有沒有處理這次的漏洞？」先確定好，比之後出事了再處理來得好。
所有資訊，都先從官方確認
這次要更新 PHP 的是網站業者，你要做的是別被趁機出現的假訊息牽著走。收到「因應漏洞」「請立即登入」這類通知時，先停下來，從官方 App 或書籤確認，就能安心繼續上網。