PHP 官方於 2026 年 10 月 21 日發布兩項重大安全漏洞（CVE-2026-109618、CVE-2026-109619），業界合稱為 PHP2Shell，嚴重程度均達 CVSS 9.2 分（滿分 10 分）。
這兩項漏洞可能讓攻擊者在不需要帳號密碼的情況下，直接透過網路入侵網站伺服器並執行惡意程式。
由於 PHP 廣泛應用於各類網站系統，包括 WordPress、Moodle、Drupal、Joomla! 及自行開發的網站服務，因此影響範圍相當廣泛。
一、漏洞可能造成的影響
一旦網站遭到成功入侵，可能造成以下後果：
- 資料外洩： 個人資料、帳號資訊及其他機敏資料遭到竊取。
- 網站遭到竄改： 網頁被植入惡意程式或詐騙連結。
- 伺服器遭到控制： 遭駭客利用進行其他攻擊，甚至進一步入侵相關系統。
- 服務中斷： 影響網站正常運作及教學、研究、行政業務。
特別注意：PHP2Shell 漏洞存在於 PHP 程式執行環境本身，而非特定網站程式或外掛。即使網站目前運作正常，仍可能存在遭受攻擊的風險。
二、受影響版本及修補方式
PHP 官方已發布以下安全修補版本：
| PHP 版本 | 安全修補版本 |
|---|---|
| PHP 8.5 | 8.5.12（含）以上 |
| PHP 8.4 | 8.4.27（含）以上 |
| PHP 8.3 | 8.3.36（含）以上 |
| PHP 8.2 | 8.2.35（含）以上 |
| PHP 8.1 及更舊版本 | 請升級至受支援版本，或確認已套用廠商提供的安全修補 |
請各單位網站管理人員及委外維護廠商，儘速確認網站使用的 PHP 版本並完成安全更新。
若無法立即修補，應先評估限制網站對外存取或暫時停止服務，以降低遭受攻擊的風險。
三、修補期限及管制措施
為維護校園資訊安全，請各單位配合以下時程辦理：
- 2026 年 10 月 27 日（二）前： 完成所轄網站 PHP 版本檢查及安全修補。
- 2026 年 10 月 28 日（三）起： 凡經查確認仍使用未修補 PHP 版本之網站，資安中心將逕行採取網路封鎖措施，停止該網站對外提供服務。
遭封鎖之網站，須於完成安全修補並經確認後，始得解除封鎖並恢復正常運作。
敬請各單位務必重視並配合辦理。如有相關問題，請洽資訊安全中心陳先生(校內分機2765)或林先生(校內分機2749)。
參考資料
國家資通安全研究院：PHP 存在高風險安全漏洞（CVE-2026-109618、CVE-2026-109619），請儘速確認並進行處置
PHP 官方公告：PHP: News Archive - 2026