優先安全通告｜官方修補發布：2026 年 10 月 21 日｜本文整理：2026 年 10 月 22 日。
發生了甚麼事？
PHP 官方公布 CVE-2026-109618 及 CVE-2026-109619，涉及記憶體不足處理及殘留全域狀態，特定情況下可讓未經登入的攻擊者在伺服器執行程式。提供網頁請求的 PHP 環境均應立即評估；不只 WordPress，App API 及其他 PHP 系統亦要檢查。
不是「升到 8.3」就足夠
官方修補版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35；應安裝所用受支援分支的已修補版本或其後更新。若主機商採用回補修補，需取得對應套件及修補證明，不能只看控制台顯示的主版本。PHP 8.1 或更舊版本應向供應商確認修補及遷移安排。
網站負責人現在應做甚麼？
一、盤點官網、測試站、App API、排程及各 PHP 執行環境，向主機商核實完整版本及修補狀態。二、保留資料庫、檔案備份和可疑存取紀錄，安排緊急修補；由管理員重啟受影響工作程序，確認沒有舊程序仍在服務。三、驗證登入、表格、付款及 App 接口等重要功能，持續檢查異常帳戶、檔案和紀錄。
防火牆可以代替更新嗎？
不可以。官方指出，臨時緩解措施不構成完整解決方案。未能即時更新時，應由主機商或安全團隊評估限制暴露面的臨時安排；若懷疑已入侵，另需進行事故調查，更新 PHP 不等於已清除入侵痕跡。
以上為一般事件應對清單，並非 ATOM 已完成你現有網站或 App 的修補證明；本次只更新示範網站內容，沒有改動主機 PHP 設定。
資料來源：PHP 官方安全公告（2026-10-21）。本文為 ATOM 編輯摘要及應用觀察；供應商公告、服務條款及可用地區如有更新，以官方資訊為準。