最近部分网站打不开，可能与PHP 的重大安全漏洞有关。有些业者选择先暂停网站，完成修补后再恢复服务，避免网站在漏洞尚未处理时遭到攻击。
PHP 已经发布修补版本，网站管理者应立即处理。资安监测也已确认，这波漏洞出现广泛攻击，最早在10 月17 日就侦测到利用尝试，比官方公开漏洞早了四天。
PHP 发生什么事？攻击者不用登入，就可能对网站下指令
PHP 是许多网站使用的程式语言，负责在伺服器上处理网站功能。这次发现的两个漏洞，可能让攻击者在没有帐号、没有登入的情况下，让伺服器执行恶意程式，进而威胁网站与资料安全。
漏洞编号为CVE-2026-109618、CVE-2026-109619。10 月21 日官方已发布修补版本，使用PHP 处理网页请求的网站，应立即确认是否受影响并更新。
一般使用者：先看网站公告，确认服务何时恢复
如果你只是浏览网站、购物或查资料，修补工作由网站业者负责，不需要在手机或电脑上安装PHP 更新。
遇到网站无法使用，先查看业者的官方社群、App 或客服公告。网站暂停服务可能是预防措施，单凭打不开，无法判定个人资料已经外泄。若业者确认帐号资料受到影响，再依正式通知变更密码或采取其他措施。
网站负责人：现在就问主机商「修好了吗？」
如果网站交给架站公司、外包工程师或主机商维护，可以直接把下面这段传给对方：
请确认网站使用的PHP 是否已修补CVE-2026-109618、CVE-2026-109619，并回覆修补完成时间，以及是否已检查异常存取与文件变更。
只收到「WordPress、外挂都更新了」还不够，这次要确认的是主机上的PHP 是否完成修补。
技术管理者：更新PHP，再确认服务与纪录
PHP 官方发布的修补版本如下：
| 使用分支 | 本次修补版本 |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
请安装对应分支的修补版本，或后续包含修正的版本。使用Linux 发行版提供的套件时，应核对供应商安全公告；部分供应商会将修补套用到原有版本，不能只看版号判断。 PHP 8.1 或更旧版本的使用者，请向供应商确认是否提供修补，或安排升级至仍受支援的版本。
处理顺序可以直接照以下做：
- 确认实际处理网站请求的PHP 已修补，涵盖所有主机、容器与服务节点。
- 依部署方式重新启动相关服务，让旧的PHP 工作程序全部退出。
- 测试登入、购物、上传等主要功能。
- 检查存取纪录、异常程序与文件变更；调查范围至少回看至10 月17 日。
想请AI 协助？可以直接贴这段指令
你也可以请AI 协助确认环境、整理修补步骤。如果使用的AI 工具具备主机操作权限，还能在你确认方案后协助执行。以下指令可以直接复制使用：
我管理的网站可能受到PHP 漏洞CVE-2026-109618、CVE-2026-109619 影响。请先参考PHP 官方公告，协助我确认网站实际使用的PHP 版本、安装方式，以及供应商是否已提供修补，不要只检查命令列版本。
先做唯读检查，再列出适合这个环境的更新步骤、备份与回复方式，经我确认后才执行。完成后，请重新确认网站使用的PHP 已修补、相关服务已重新启动，并测试网站主要功能。无法确认的项目请明确列出。
更新能补上漏洞；若网站先前已遭入侵，还需要另外处理入侵痕迹与受影响资料。暂时无法修补的网站，应立即与维运人员讨论限制对外存取或暂停服务。单靠修改设置，无法完整解决这两个漏洞。
