PHP 两大漏洞恐成骇客入侵破口 别急著点「请立即更新」

广泛应用于网站与电子商务平台的程式语言PHP，近日被揭露两项重大资安漏洞，严重度评分均高达9.2分，漏洞资讯与攻击程式码在官方修补程式释出前便已公开，让尚未完成更新的网站与网路服务面临潜在威胁。

全球领先资安公司趋势科技旗下全球企业AI资安领导品牌TrendAI指出，攻击者可能利用漏洞，在未经身分验证的情况下远端执行恶意程式码，造成资料遭窃、档案遭窜改或服务中断。企业应立即盘点PHP使用情形，优先修补对外开放的服务，并确认更新实际生效、持续追查入侵迹象，降低资安风险。同时，全球消费者数位生活防护领导品牌TrendLife™也提出消费者四大防护要点，提醒慎防假更新通知与钓鱼连结。

此次漏洞编号为CVE-2026-109618与CVE-2026-109619，严重度评分（CVSS v4.0）均达9.2分，皆与PHP的记忆体管理问题有关，可能让攻击者在未经身分验证的情况下远端执行恶意程式码。受影响环境包括Apache mod_php、PHP-FPM、CGI、FrankenPHP及LiteSpeed，其中以Apache mod_php风险最高，实际利用条件则依部署环境而异。

除了企业应立即做出应变对策外，趋势科技旗下消费性事业群TrendLife提醒，目前尚无公开资料显示诈骗集团已利用此次漏洞行骗，但消费者仍须提高警觉，并做好以下四大防护：

1. 更改密码：若收到常用网站的通知，确认服务受到此次漏洞影响，请尽速更改密码，并透过官方App或自行储存的书签登入，避免点击不明连结而落入钓鱼陷阱。

2. 慎防假冒的诈骗讯息：诈骗集团可能假借网站发生资安事件，透过简讯或电子邮件要求使用者立即更新、重新登入或验证帐号。遇到这类讯息，切勿急于点击连结，应先透过官方网站或客服确认，亦可拨打165反诈骗咨询专线查证。

3. 定期检查装置安全：确认手机与电脑上的App及防毒软体皆已更新至最新版本，才能及时修补已知安全漏洞，降低遭恶意网站利用漏洞植入恶意程式的风险。

4.善用工具强化日常防护：消费者可利用趋势科技AI防诈达人查证可疑讯息与连结、过滤诈骗简讯并阻挡诈骗来电。此外，手机可搭配趋势科技行动安全防护，封锁诈骗网页与恶意网址，防范恶意程式；笔电与桌机则可使用PC-cillin云端版，结合AI防毒、恶意网址阻挡及个资外泄警示，守护装置与个人资料安全。

本文转自：TNT时报