2026/10/22

研究人員發現PHP存在使用釋放後記憶體(Use After Free)漏洞(CVE-2026-109618與CVE-2026-109619)，攻擊者可透過傳送特製之multipart/form-data HTTP請求，於未經身分鑑別之情況下，於伺服器底層執行任意程式碼，網路上已出現本漏洞概念驗證程式(PoC)，請儘速確認並進行處置。

請使用 PHP 之網站管理者儘速確認並完成更新。

處置方式：
1. 請將 PHP 更新至以下已修補版本或更新版本：PHP 8.5.12、8.4.27、8.3.36、8.2.35（官方更新公告與下載網址：
https://www.php.net/downloads.php）
2. 暫時無法升級者，請評估暫停對外服務。
3. 網站由廠商維護者，請轉知廠商儘速處理並回覆處理結果。
4. 已無使用需求之網站，建議直接下架，以免成為入侵管道。

參考資料：國家資通安全研究院漏洞警訊 https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/Vulnerability_Alert_Announcements/5c4e9af1-4275-44ef-a277-c692786b5a2c/