重點整理
- PHP 官方發布緊急更新，修復兩個可讓駭客遠端控制伺服器的嚴重 RCE 漏洞。
- 所有處理網頁請求的 PHP 環境皆受影響，建議立即更新至 8.5.12 等安全版本。
- 若暫時無法更新，可調整記憶體與上傳限制來降低風險，但更新才是唯一徹底解法。
- 中小企業主應盤點網站底層技術，並建立常態性的主機維護與資安監控機制。
你的公司網站是用 PHP 開發的嗎？最近 PHP 官方發布了緊急安全更新，修復了兩個非常嚴重的資安漏洞。如果你沒有及時更新，駭客可能不需要密碼，就能遠端控制你的網站伺服器。這篇文章將帶你了解這次漏洞的影響，以及身為企業主該採取什麼行動。
發生了什麼事？兩個嚴重的 PHP 資安漏洞
PHP 是一種廣泛用於開發網站的伺服器端程式語言，許多知名框架如 Laravel 都是基於它建構的。這次 PHP 團隊修復了兩個被列為「嚴重」等級的遠端程式碼執行（RCE）漏洞。RCE 的意思是，駭客可以透過網路，在你的伺服器上執行惡意程式碼。
這兩個漏洞的編號分別是 CVE-2026-109618 與 CVE-2026-109619（CVE 是國際標準的資安漏洞編號）。簡單來說，它們是因為 PHP 在處理記憶體與內部狀態時出現錯誤，導致駭客可以在應用程式程式碼執行前，就趁虛而入控制伺服器。官方特別指出，使用 mod_php 模組的風險最高，因為已有實際的攻擊手法被發現。
你的網站受影響嗎？正確的解決方式
只要你的伺服器有處理網頁請求，包含 PHP-FPM、Apache、php-cgi 等環境，幾乎都受到影響。這也涵蓋了大多數在正式環境運作的 Laravel 應用程式。
最正確的解決方式，就是立刻將 PHP 更新到安全版本：8.5.12、8.4.27、8.3.36 或 8.2.35。你可以到 PHP 官方下載頁面取得原始碼，或是檢查你的 Linux 發行版是否已經推送了更新套件。請注意，PHP 8.1 及更舊的版本已經停止官方更新，建議盡快升級到受支援的版本。
如果你使用的是 Laravel 相關的雲端服務，Laravel Cloud 與 Vapor 的客戶會自動進行修補或重新部署；但 Laravel Forge 的客戶則需要手動進入後台更新伺服器的 PHP 版本。
如果暫時無法更新，有什麼暫時的防護措施？
官方強調，「更新」是唯一能徹底解決問題的方法。如果你的系統暫時無法升級，官方提供了一些降低風險的設定，但請注意，這些設定無法保證伺服器絕對安全。
針對第一個漏洞，建議在設定檔中將記憶體限制設為無限制，並降低上傳檔案的大小限制。同時，在網頁伺服器層級嚴格限制請求的大小與數量。
針對第二個漏洞，建議在設定檔中關閉上傳進度功能，並移除那些會在初始化前發出錯誤訊息的無效設定。此外，也要修復那些駭客可能觸發的致命錯誤。這些技術細節需要由工程師來評估與設定。
崴米的建議
面對這種底層程式語言的嚴重漏洞，中小企業主不需要自己跳下去寫程式碼，但必須確保你的網站有被妥善照顧。我們建議你：
- 盤點網站技術棧：向你的工程師或建站廠商確認，網站是否使用 PHP，以及目前的版本是多少。
- 建立常態性的主機維護機制：資安漏洞層出不窮，靠人工追蹤很容易漏掉。將主機更新、備份與監控交給專業團隊，才能確保網站在遇到緊急狀況時有人第一時間處理。
如果你希望網站上線後有專業團隊幫忙盯主機與處理更新，歡迎了解我們的網站代管維護與主機監看服務，讓你們的資安與營運更安心。
參考來源：PHP Security Releases Fix Two Critical RCE Vulnerabilities
