广泛应用于网站与电子商务平台的编程语言 PHP，近日被揭露两项高风险漏洞，严重度评分均达 CVSS v4.0 9.2，漏洞信息与攻击代码更在官方修补程序发布前公开。 趋势科技（东京证券交易所：4704）提醒，攻击者可能在未经身分验证的情况下远程运行恶意代码，造成数据遭窃、文件遭窜改或服务中断；企业若只更新 WordPress 等网站程序，仍须确认底层 PHP 运行环境是否完成修补。 两项漏洞编号分别为 CVE-2026-109618 与 CVE-2026-109619，均与 PHP 内存管理问题有关。

趋势科技指出，受影响环境包括 Apache mod_php、PHP-FPM、CGI、FrankenPHP 与 LiteSpeed，实际风险会依部署方式而异，其中 Apache mod_php 风险相对较高。 只更新网站程序，可能漏掉底层PHP PHP 是网站及电商服务常见的运行环境，但企业盘点资产时，未必只会在主要网站主机上找到 PHP。 容器映像档、开发与测试环境、主机控制面板，甚至设备的网页管理接口，都可能使用 PHP，成为容易忽略的曝险点。 由于漏洞位于 PHP 本身，更新 WordPress、Magento 或企业自建应用程序，并不等于底层 PHP 已完成修补。

企业应先确认网站实际使用的 PHP 运行环境、版本与部署方式，再依系统是否对外开放、是否处理付款或客户数据，安排修补优先级。 对于 PHP 8.1 及更早版本，趋势科技建议企业向供应商确认是否提供回补修正，或评估升级至仍受支持的版本。 不过，部分 Linux 发行版与长期支持供应商会将安全修正回补至旧版套件，因此不能单凭版本号判断系统是否已修补，仍须确认套件来源与更新内容。 修补后还要验证，并追查可能的入侵迹象 趋势科技建议企业先盘点网站、容器与第三方产品中的 PHP 使用情形，接着优先处理对外服务，再确认代管业者、托管服务商或设备供应商的更新进度。 完成更新后，也应重新启动服务或替换容器映像档，确认修补实际生效。

若短时间内无法完成更新，企业可先移除不必要的对外服务，并通过 VPN 或允许清单限制管理接口访问，降低曝险范围；防火墙与入侵防护措施则可作为过渡防线。 PHP 官方也提醒，调整系统设置只能暂时降低部分风险，不能取代正式安全更新。 修补完成不代表调查工作结束。 企业还应检查修补前的异常请求、可疑进程、文件变更、网页后门及异常对外连接，尤其要优先查看曾长时间暴露在互联网上的系统，确认是否已有入侵迹象。 中小企业应急措施：趋势科技推代理防护，台湾大开放资安体验 针对人力与技术资源有限、难以迅速完成盘点和修补的中小企业，趋势科技旗下 TrendLife 推出「PHP漏洞急救包」。

依公司说明，服务采代理（Proxy）架构，部署在网站前方，在恶意请求抵达服务器前进行拦截，防护规则针对 PHP、WordPress 与 Laravel 网站调整；服务即日起提供 7 天免费使用。 趋势科技首席执行官陈怡桦表示，PHP漏洞影响层面广，仰赖网站营运的中小企业冲击尤其直接，「网站一旦受影响就可能面临服务中断、无法接单与数据外泄的风险」。 她并表示，趋势科技的应变作法包括在网络层检查流量、拦阻攻击，并在端点部署防护，以降低恶意程序植入风险，让业者有更多时间完成修补。 这项代理式防护仍不能取代 PHP 正式更新，企业须确认修补来源、完成更新并验证生效。

同样因应资安署近期发布的资安警讯，台湾大哥大（3045）宣布即日起至 11 月 30 日，开放前 100 家企业免费体验 EASM 外部攻击面管理、EDR 端点侦测与回应及社交工程演练平台。 台湾大进一步说明，EASM 可查看企业对外网络服务、网站、帐密、电子邮件与云端曝险；EDR 协助掌握端点可疑行为，社交工程平台则通过钓鱼情境查看员工资安意识。 免费内容包括一次 EASM 检测、EDR 体验，以及一次 200 封邮件的社交工程演练。 台湾大哥大企业服务事业商务长朱晓幸表示，资安防护不应因企业规模而有所差别。 这些体验着重外部曝险盘点、端点侦测与员工演练，并非 PHP 漏洞修补服务，企业仍须确认底层 PHP 更新是否完成。

趋势科技TrendLife™推「PHP漏洞急救包」为中小企业网站加上一层即时防护网、争取漏洞修补时间。 （趋势提供） 消费者慎防假冒更新通知 趋势科技表示，目前没有公开数据显示诈骗集团已利用此次漏洞行骗，但提醒消费者留意借资安事件名义发送的短信或电子邮件。 若消息要求立即更新、重新登录或验证帐号，应先通过官方网站、App 或客服查证，不要直接点击陌生链接，也不要下载不明更新程序。 趋势科技也建议民众维持手机、电脑与应用程序在最新版本；若收到可疑消息，可拨打 165 反诈骗咨询专线查证。 此次漏洞需要修补的是网站业者的 PHP 运行环境，消费者不应依陌生消息指示，安装所谓的「PHP漏洞更新」。