PHP 多項漏洞（CVE-2026-109618、CVE-2026-109619）注意喚起

摘要

JPCERT/CC 注意喚起 JPCERT-AT-2026-0033：The PHP Group 於 2026-10-21 公布 CVE-2026-109618 與 CVE-2026-109619。惡用時可能以 PHP 執行程序的權限執行任意程式碼。

重點

• 對象為 PHP 8.5.12、8.4.27、8.3.36、8.2.35 之前的各該分支。
• PHP 8.1 以前沒有一般更新版，建議升到仍受支援的版本。開發者另對 PHP 7.4、8.0、8.1 提供最小限度處置。
• 使用 PHP 的產品與 Linux 發行版套件也可能受影響，應同時看該產品或作業系統提供方的資訊。
• 請儘速套用修正，並調查是否遭入侵。頁面寫暫行緩解只涵蓋特定路徑，完整對策是更新。
• 注意喚起列出一些可疑跡象。那些描述接近攻擊形狀，此處不轉述；頁面也寫單一規則不能涵蓋所有路徑，沒看到跡象也不能斷定沒有受害。