澳洲機構示警，漏洞風險不等於已發生洩露

ABC於10月22日凌晨報道，兩項PHP嚴重漏洞引發多國網站運營者應急處理，澳洲信號局也對相關風險發出提醒。PHP是許多網站在服務器上使用的程序語言，影響範圍不只是一款手機應用或一個瀏覽器。

報道提到澳洲網絡安全網站也使用受影響技術。不過，存在漏洞、採取臨時下線措施和確認遭到入侵是不同事實，不能僅憑網頁打不開就推斷用戶資料已經洩露。判斷一家網站的實際情況，需要運營者或調查機構的進一步確認。

閱讀ABC英文原文：PHP漏洞與澳洲網絡安全警報

核實更新：修復版本已公佈

截至本次核實，PHP官方網站已發佈安全公告，並非仍停留在“等待補丁”的階段。公告列出的修復版本為8.5.12、8.4.27、8.3.36和8.2.35，對應CVE-2026-109618與CVE-2026-109619兩項漏洞；官方敦促用戶立即更新。

公告指出，為網頁請求提供服務的PHP環境需要關注，包括PHP-FPM和Apache的mod_php等。PHP 8.1及更早版本已不再由PHP項目提供常規更新；使用發行版長期支持包的機構，應向自己的供應商確認是否已回補修復，不能只看表面的版本號。

PHP官方安全公告與各分支修復版本

商家網站要查服務器，不只是插件

對把網站交給外包公司或共享主機維護的小商家，可要求服務方明確回覆三件事：網站是否運行PHP、對應環境的安全更新是否已部署、升級後登錄與訂單等主要功能是否通過檢查。WordPress後臺顯示“插件已更新”，並不能單獨證明服務器底層也完成修復。

PHP官方強調，臨時緩解措施不是完整解決辦法。本文建議把公告交給負責運維的人按實際架構處理，不要照抄網上配置片段到生產站。普通訪客也不需要從陌生郵件下載所謂“網站修復工具”；涉及賬號或數據洩露的處理，應以該服務的正式通知為準。