技術摘要

TL;DR

• 兩個 PHP 核心漏洞：CVE-2026-109618（RCE via OOM corruption）與 CVE-2026-109619（RCE via stale global state），官方 CVSS v4.0 都是 9.2。
  註：CVSS v4.0

  CVSS v4.0（CVSS）

  這次官方用的是第 4 版，兩個 CVE 都是 9.2。外洩貼文與 watchTowr 曾稱 10.0，那不是官方分數。

• 官方於 2026-10-21 14:00 UTC（台灣時間 22:00）發布修補。所有服務網頁請求的 PHP 安裝都要假設有風險，Apache mod_php 最高。
  註：Apache mod_php

  Apache mod_php（mod_php）

  把 PHP 嵌進 Apache 行程的模組。未驗證的請求可在應用程式碼開始前碰到漏洞；官方稱預設設定下已展示完整 RCE。worker 會跨請求重複使用的部署，過期狀態更有機會留下來。

• 漏洞可以在應用程式碼開始之前就被觸發，WordPress、Drupal 等應用本身的更新不是這次的修補，只能更新 PHP。
• 官方原話：There are no complete mitigations, updating is the only safe choice. 暫時緩解只能降低特定路徑的曝險。
• 更新之後要重啟所有 worker，再向正在接流量的行程確認版號。
  註：worker

  worker

  處理網頁請求的 PHP 行程。同一支 worker 接下一個請求時，可能在正常初始化把殘留狀態清掉之前就用到它。修補後要重啟所有 worker。

從哪裡開始

各平台的修補頁在上方主選單。每頁都照同一個順序：檢查 → 更新 → 重啟 → 驗證。