各位 師長同仁，大家好：

依教育機構 ANA 通報平台資安漏洞預警，PHP 存在高風險安全漏洞（CVE-2026-109618、CVE-2026-109619），攻擊者可能透過特製 HTTP 請求，在未經身分驗證的情況下於伺服器執行任意程式碼，且目前已有漏洞概念驗證程式（PoC）公開，具一定資安風險。

請各單位協助確認所管理之網站、伺服器及相關系統是否使用受影響之 PHP 版本，包含 WordPress、Drupal、Joomla、Magento 等網站平台。如有使用，請儘速評估影響並更新至官方最新安全版本；若使用已停止維護（EOL）之版本，請儘速規劃升級，以降低遭受攻擊之風險。

相關漏洞資訊及更新版本請參閱：
PHP 官方下載及更新公告：https://www.php.net/downloads.php

請各單位務必重視並儘速辦理，謝謝。

---------------------------------------------------------------------------------------------------------------------------------------

Dear All,

According to a security alert issued through the Education Institution ANA Reporting Platform, two high-risk vulnerabilities have been identified in PHP (CVE-2026-109618 and CVE-2026-109619). These vulnerabilities may allow attackers to execute arbitrary code on affected servers without authentication by sending specially crafted HTTP requests. Proof-of-concept (PoC) code is publicly available, increasing the potential security risk.

Please check whether any websites, servers, or systems under your management use affected PHP versions, including platforms such as WordPress, Drupal, Joomla, and Magento. If affected versions are in use, please assess the impact and upgrade to the latest secure version officially supported by PHP as soon as possible. For end-of-life (EOL) versions, please plan and carry out an upgrade promptly to reduce the risk of attack.

For vulnerability details and security updates, please refer to the official PHP website:https://www.php.net/downloads.php

Your prompt attention and action are appreciated.

                                        教育機構ANA通報平台



轉發   國家資安資訊分享與分析中心 資安訊息警訊 NICS-ANA-2026-0000952

研究人員發現PHP存在使用釋放後記憶體(Use After Free)漏洞(CVE-2026-109618與

CVE-2026-109619)，攻擊者可透過傳送特製之multipart/form-data HTTP請求，於未經

身分鑑別之情況下，於伺服器底層執行任意程式碼，網路上已出現本漏洞概念驗證程式

(PoC)，請儘速確認並進行處置。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)

煩請貴單位協助轉發與通知轄下各單位知悉

已停止維護(EOL)之版本： 

PHP 5.4.x至5.6.x之所有版本 

PHP 7.0.x至7.4.x之所有版本 

PHP 8.0.x至PHP 8.1.x之所有版本 

官方仍支援之版本： 

PHP 8.5.11(含)以下版本 

PHP 8.4.26(含)以下版本 

PHP 8.3.35(含)以下版本 

PHP 8.2.34(含)以下版本 

註：WordPress、Drupal、Joomla及Magento等內容管理系統之底層架構多使用PHP運

作，建議盤點與儘速進行處置。 

官方將針對漏洞釋出修補或更新，建議系統管理者儘速將PHP升級至下列受支援之最新

安全版本： 

PHP 8.5.12 

PHP 8.4.27 

PHP 8.3.36 

PHP 8.2.35 

官方更新公告與下載網址： 

https://www.php.net/downloads.php 

註：PHP 8.1(含)以下版本因官方已停止維護(EOL)，將不會獲得官方修補更新，建議儘速升級至上述仍支援之版本。