數位發展部資安署表示，開源伺服器端腳本語言PHP安全團隊釋出緊急安全更新，修補兩項嚴重漏洞，嚴重度評分均為9.2分，攻擊者可能在未經身分驗證的情況下，從外部執行任意程式碼。
資安署呼籲使用PHP的機關、學校及企業，儘速確認版本並完成更新。
資安署深夜發布新聞稿指出，PHP安全團隊於台灣時間21日晚間10時釋出緊急安全更新，修補兩項嚴重漏洞，編號分別為CVE-2026-109618與CVE-2026-109619，嚴重度評分（CVSS v4.0）均為9.2分。攻擊者可能在未經身分驗證的情況下，從外部執行任意程式碼。
資安署表示，PHP廣泛用於網站建置、內容管理系統與各類管理介面，呼籲使用PHP的機關、學校及企業，儘速完成版本確認與更新。
資安署說明，掌握情資後，已透過資安警訊、國家資安資訊分享與分析中心（N-ISAC）及台灣電腦網路危機處理暨協調中心（TWCERT/CC）等管道，通知各機關及企業儘速完成應處。
資安署提醒，PHP同時是WordPress、Drupal、Joomla、Magento等主要內容管理系統的底層架構，部分未明示使用PHP的軟體內部也以PHP運作，各單位應盤點所有PHP系統與相關套件，確認版本後依原廠公告方式完成修補。更新後，也應檢視系統日誌及異常存取紀錄，如發現可疑活動，進一步確認相關帳號與憑證安全性。
資安署表示，將持續掌握PHP相關漏洞及國內外威脅情資，透過資安警訊與聯防機制，協助各機關即時採取防護措施，降低資安風險。
PHP爆重大資安漏洞，歐洲多地政府網站緊急下線防駭
受到廣泛使用的程式語言PHP被揭露存在重大安全漏洞後，網站營運者急忙採取保護措施，歐洲等地政府網站今天紛紛離線。據統計，大約75%可辨識使用何種程式語言的網站都是使用PHP。
目前PHP開發者已發布修補漏洞的更新版。日本首相高市早苗稍早在社群媒體發文，呼籲大家緊急採取行動，盡快套用修補程式。
皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。 公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
— 高市早苗 (@takaichi_sanae) October 21, 2026
路透社報導，PHP程式語言的開發者昨天表示，已發現兩個重大漏洞，並呼籲使用者在修正版發布後，盡速更新網站。
格林威治標準時間21日13時45分（台灣時間21時45分）左右，開發者表示，已推出修正這些漏洞的新版本。
然而，由於有消息稱駭客正利用這些漏洞入侵網站，荷蘭與芬蘭的政府機關等單位在修正版發布前，就已基於預防考量，讓網站下線。
網際網路有一大部分是靠PHP支撐，因此各界擔憂，大量網站可能面臨攻擊風險。
網路安全公司Huntress在部落格文章中表示：「PHP無所不在。它默默支撐WordPress、Drupal、Joomla、Magento等系統、共享主機平台、控制面板，以及許多根本不會標示底層使用PHP的軟體。」
網路與雲端安全公司Cloudflare技術長柯奈特（Dane Knecht）表示，相關攻擊已開始出現，Cloudflare正在更新防火牆規則，作為權宜措施。
歐洲、澳洲、日本、英國的資安機關已呼籲PHP使用者立即更新，或在套用修補程式前先將網站下線。
日相高市早苗也在社群平台X發文呼籲，應確認對外公開的網站是否使用PHP，並應做好準備，以便在發布修補程式後，盡速套用更新。
貼文中亦提到，如果難以迅速套用修補程式，暫時關閉網站等措施，也可視為降低風險的有效方法之一。
法新社報導，美國國家安全局（NSA）也呼籲各機構，如無法立即修復漏洞，應將網站下線。
