國立臺灣大學計算機及資訊網路中心

研究人員發現PHP存在使用釋放後記憶體(Use After Free)漏洞(CVE-2026-109618與CVE-2026-109619)，攻擊者可透過傳送特製之multipart/form-data HTTP請求，於未經身分鑑別之情況下，於伺服器底層執行任意程式碼，網路上已出現本漏洞概念驗證程式(PoC)，請儘速確認並進行處理。

【CVE-2026-109618】：此為使用釋放後記憶體（Use After Free）漏洞，與記憶體不足（Out of Memory, OOM）處理有關，可能因記憶體未完全初始化，導致未經身分驗證的遠端攻擊者，可透過傳送特製的http請求，在受影響的伺服器上執行任意程式碼（RCE）。

【CVE-2026-109619】：此為使用釋放後記憶體（Use After Free）漏洞，可能因全域狀態未完全初始化，導致未經身分驗證的遠端攻擊者，可透過傳送特製的http請求，在受影響的伺服器上執行任意程式碼（RCE）。

影響範圍：

PHP 分支	修補版本
8.2.x	8.2.35
8.3.x	8.3.36
8.4.x	8.4.27
8.5.x	8.5.12
5.x / 7.x / 8.0 / 8.1	已 EOL，無官方修補

註：WordPress、Drupal、Joomla及Magento等內容管理系統之底層架構多使用PHP運作，建議盤點與儘速進行處置。

修補建議：

建議系統管理者儘速將PHP升級至下列受支援之最新安全版本。
官方更新公告與下載網址：https://www.php.net/downloads.php

無法立即修補時的緩解措施（僅降低風險，建議盡快升級）：

1. 網路端防護
   A.建議啟動資安設備有關此PHP漏洞的防護規則，若尚未有相關規則，建議詢問官方或維護廠商。
   B.啟動網站前端WAF防護規則，攔截異常的遠端執行特徵、惡意 HTTP 請求與過長的參數傳遞。若尚未有相關規則，建議詢問官方或維護廠商，或可參考社群分享的規則再轉換成資安設備適用的語法，規則偵測的方式會有憑證加密的問題。
2. 伺服器強化
   編輯php.ini（用php --ini找 Loaded Configuration File 定位）：
   
   改完重啟 FPM，建議用 restart（完全重啟）而非 reload，確保 OPcache 清乾淨、設定確實生效。
   接著驗證生效值：
   

參考資料

1. 國家資通安全研究院： https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/Vulnerability_Alert_Announcements/5c4e9af1-4275-44ef-a277-c692786b5a2c/
2. PHP官方： https://www.php.net/downloads.php
3. TWCERT/CC： https://www.twcert.org.tw/tw/cp-169-11303-1d68a-1.html
4. Github社群分享規則之一： https://github.com/ikow/php2shell-poc/tree/main/detection