2026 PHP嚴重漏洞：網站有冇受影響？附免費風險自查清單
網站正常開到，唔代表PHP已經完成修補。企業網站負責人第一步係確認實際執行環境及修補證據，再同開發人員安排更新與驗收；唔需要先學識寫程式，亦唔應該靠試攻擊去判斷。本文更新：2026年10月31日。
今輪PHP問題是甚麼？
PHP官方於2026年10月21日公布CVE-2026-109618及CVE-2026-109619，涉及可讓未經驗證攻擊者遠端執行程式碼的風險。影響範圍包括處理網頁請求的PHP部署，並非只限Windows或PHP-CGI。這與2024年的Windows CGI漏洞不是同一宗事件。
先查完整版本，再問補丁來源
針對10月21日兩項漏洞，官方修補版本為PHP 8.2.35、8.3.36、8.4.27及8.5.12。這是該次漏洞的修補基準，不是永久的「安全版本」保證；執行時仍要查看最新公告。使用Linux或長期支援供應商套件的網站，亦可能透過回補修正處理，應索取對應安全公告與套件版本。
網站負責人可完成的8項自查
□ 1. 列出主網站、子網域、獨立Blog、後台、API及舊活動頁，逐項指定維護人。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 2. 確認每項服務是否使用PHP，不能只憑網址有冇.php判斷。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 3. 記錄網站實際處理請求的完整PHP版本、主機及更新時間。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 4. WordPress可由工具 → 網站狀態 → 資訊 → 伺服器查版本；後台不可用時向主機商查詢。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 5. 請主機商確認對應漏洞修補公告、套件編號，以及所有節點／workers是否已套用。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 6. 確認檔案及資料庫備份位置、時間與還原負責人；備份亦可能包含已存在的入侵。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 7. 檢查陌生管理員、異常跳轉、可疑檔案及主機警告，發現異常另啟事故處理。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
□ 8. 修補後測試查詢、登入、預約或付款，保存測試結果及剩餘問題。 記錄結果：已確認／待處理／不適用（原因）、負責人、日期及證據；如證據欠缺、檢查失敗或須改動伺服器，交維護人員處理；懷疑入侵交資安事故專業人員。
已更新，為甚麼還要再核對？
10月23日官方另就Session upload progress發出設定建議，10月26日亦公布含Brotli修正的Windows重建套件。使用相關環境者，應讓開發人員按最新公告判斷適用範圍；Windows套件的-1後綴不會改變PHP runtime顯示的版本號，因此單看版本畫面未必足夠。
免費領取：PHP網站風險自查清單
可編輯Word清單包含8項檢查、主機商查詢範本，以及結果、負責人、完成日期和證據欄。先整理資料，再交開發人員核實，避免來回問十次仍未知道用緊邊個版本。資源連結會透過電郵提供；領取頁須填Email、用途及勾選接收Allua不定期行銷資訊，可隨時取消訂閱。
可以直接問主機商甚麼？
請確認我們的［網域／服務］是否涉及CVE-2026-109618及CVE-2026-109619，提供實際網頁PHP版本、修補套件／公告、套用及workers重啟時間，並檢查10月23日Session公告及適用的Windows依賴套件更新。如尚未完成，請列出風險、處理安排及驗收方法。請勿在電郵附密碼或管理員金鑰。
常見問題
Q：有HTTPS或Cloudflare，是否不用更新？
A：這些保護不等於PHP runtime修補完成；應要求主機端修補證據。
Q：安全掃描沒有報警，就代表沒被入侵？
A：不能如此推斷。版本檢查、掃描及日誌調查的範圍不同。
Q：可否先改幾個設定代替更新？
A：PHP官方指出臨時措施不能完整解決今輪問題；具體設定由維護人員按環境評估。
Q：應否順便跳到最新大版本？
A：安全修補與跨版本升級可分開規劃，選擇受支援且兼容的路徑，避免把緊急修補變成未測試的全面改版。
讓網站維護有清楚交接
如需整理網站更新及驗收範圍，可向Allua提交網站網址、主機平台、現有版本及主要業務流程，討論維護需求。毋須在公開表格提供帳戶密碼。查詢：https://zh.alluatech.com/contact-us#SITE_FOOTER
官方參考
PHP最新安全公告：https://www.php.net/
Hosting-provider example (provider-reported patch deployment; confirm your own service): https://www.siteground.com/blog/critical-php-vulnerabilities-october-2026
PHP 2026發布紀錄：https://www.php.net/archive/2026.php/
WordPress PHP更新與版本查閱：https://wordpress.org/support/update-php/
免責聲明
本文資訊根據一般情況及截至文中更新日期可取得的資料整理，僅供一般參考，不能取代針對個別系統的專業評估。不同網站的主機環境、PHP版本、設定、外掛及整合均可能不同；採取更新、設定修改、復原或其他措施前，請諮詢專業網站開發人員或主機供應商，由其評估你的具體情況並決定適當行動。如懷疑遭入侵，亦應尋求具備資安事故處理經驗的專業人員協助。
留言