【時報記者莊丙農台北報導】廣泛應用於網站、電子商務平台及支付服務的程式語言PHP，近日爆出兩項重大資安漏洞，嚴重度評分（CVSS v4.0）均高達9.2分。趨勢科技旗下TrendAI指出，漏洞資訊與攻擊程式碼在官方修補程式釋出前便已公開，攻擊者可能利用漏洞，在未經身分驗證的情況下遠端執行惡意程式碼，造成資料外洩、檔案遭竄改或服務中斷。中華民國第三方支付服務業商業同業公會也已通知全體會員，儘速盤點內部系統及委外服務的PHP使用情形，完成漏洞修補並檢查入侵跡象，以降低支付服務與商家網站的資安風險。

　此次漏洞編號為CVE-2026-109618與CVE-2026-109619，均與PHP記憶體管理問題有關，可能讓攻擊者在特定部署條件下，未經身分驗證便遠端執行惡意程式碼。受影響環境包括Apache mod_php、PHP-FPM、CGI、FrankenPHP及LiteSpeed，其中Apache mod_php被列為風險較高的環境，實際影響程度仍須依系統配置與部署方式評估。

　TrendAI指出，PHP不僅用於網站與電子商務平台，也可能存在於容器映像檔、主機控制面板及設備網頁管理介面，容易成為企業資產盤點的盲區。企業不能只更新WordPress、Magento等內容管理系統或自建應用程式，還必須確認底層PHP執行環境是否完成修補；若網站由外部廠商建置、維護或代管，應主動聯繫網站建置商、系統維運團隊或主機服務供應商，確認PHP使用情形、受影響範圍及修補進度。

　依第三方支付服務��商業同業公會通知，PHP官方公布的修補版本包括PHP 8.2.35、8.3.36、8.4.27及8.5.12，使用者應依所採用的版本分支，更新至對應修補版本或後續安全版本。至於採用Linux發行版或長期支援供應商維護套件的企業，則應向供應商確認本次安全修正是否已納入套件，不能只憑版本號碼判定系統是否安全。

　面對漏洞帶來的修補時間壓力，趨勢科技旗下TrendLife也推出「TrendLife PHP漏洞急救包」，即日起提供7天免費使用，主要協助中小企業在完成底層系統修補前，先為網站建立額外的即時防護，爭取修補所需時間，降低服務中斷、資料遺失及外部入侵風險。

　趨勢科技執行長陳怡樺表示，此次PHP漏洞影響範圍廣泛，從大型企業到中小企業及一般民眾的日常網路服務都可能受到波及，其中仰賴網站營運的中小企業，面臨的衝擊尤其直接。網站一旦遭到攻擊，可能導致服務中斷、無法接單，甚至發生資料外洩。

　陳怡樺指出，此次漏洞涉及不同環境與系統環節，並非只修補單一位置就能完全排除風險。趨勢科技工程團隊因此連夜投入開發，依據多年資安防護經驗及對駭客攻擊手法的掌握，推出可快速部署的多層防護方案。透過網路層流量檢測與攻擊攔阻，以及端點防護機制，降低惡意程式植入及後續損害的風險，協助企業在完成全面修補前爭取更多時間。

　第三方支付服務業商業同業公會也要求會員加強供應鏈資安管理，主動提醒旗下商家及相關服務使用者，提供漏洞修補指引、技術諮詢或可行協助方案。對於涉及支付交易、商家網站及客戶資料的系統，業者除應完成漏洞修補，也應檢查是否存在異常存取、可疑連線或其他入侵跡象，避免漏洞遭利用後進一步影響交易服務及資料安全。

　TrendAI也提醒，企業應將漏洞盤點、正式修補與入侵跡象檢查列為優先工作；若短時間內無法完成更新，可評估採取額外防護或限制對外存取等措施，但不能以暫時性防護取代正式安全更新。