2026 年 10 月 21 日公開的兩個 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619）會讓你的網站和伺服器在網際網路上裸奔。
接下來我會用，最直白，最直接，最不繞彎子、最真相、最不繞彎、最扎心、最硬核、最乾脆、最不墨跡、最戳痛點、最不留情面、最一針見血講清楚三件事：安全、安全、還是安全。
如果你的主機還在用舊 PHP，請及時更新到最新 8.4 以上版本。
PHP 這個上傳功能預設是開著的，而且存在了很多年。事實上安全研究者早就知道它可以被利用，這次是屬於提前暴露影響深遠至 PHP 5.x 版本到現在最新的 8.5 全系列。
為什麼這件事對 WordPress 特別麻煩
WordPress 站點完全基於 PHP 實現和開發的，所以只要你用的是 WP 網站那麼這個漏洞就一定存在，而且很多人是不看也不懂這些非程式介面的底層技術功能。
據公開統計，超過七成可公開訪問的 WordPress 例項使用過時的 PHP 版本；超過兩成還在用 PHP 7.4，而 PHP 7.4 的安全支援早在 2022 年 11 月就結束了。這次漏洞的官方修復只覆蓋 PHP 8.2 及以上版本，PHP 5、PHP 7、PHP 8.0 和 8.1 不會再有官方補丁。
更棘手的是大部分人不懂技術也根本不關心伺服器狀況如何，只有網站被黑之後看到問題才會發現。
你現在該做什麼（按優先順序）
第一，查你的 PHP 版本。 登入你的主機控制面板（cPanel、寶塔、WP 後臺等），找到 PHP 版本設定。如果低於 8.2，儘快升到 8.2 或更高。官方修復版本是 PHP 8.5.12、8.4.27、8.3.36、8.2.35。
第二，如果你是共享主機使用者，聯絡主機商。 PHP 版本通常由主機商控制，你沒法自己升。直接問他們：你們的 PHP 是否已經包含 CVE-2026-109618/109619 的修復？什麼時候推？
第三，短期內升不了，就關掉上傳進度功能。 在 PHP 配置裡把 session.upload_progress.enabled 設為 0。這不會修好漏洞，但能切斷這條攻擊路徑。需要誠實說明：這個臨時措施針對該漏洞的有效性還沒有被完全證實，不能替代打補丁；但如果你短期內升不了 PHP，又不依賴上傳進度條，這是一個成本很低的取捨。
第四，別把“更新外掛”當成全部。 外掛要更新，但這次的問題在發動機層面。先看 PHP 版本，再看外掛。
如果你是站點管理員請儘快處理此問題，預計未來的一段時間會出現大規模的攻擊和黑站操作，直接進伺服器去更新 PHP 版本，打補丁，改配置，沒有其他的解決方案。
發表回覆