先向託管商確認實際服務網站的 PHP 版本，以及是否已修補 CVE-2026-109618 和 CVE-2026-109619。官方於 2026-10-21 發布 PHP 8.2.35、8.3.36、8.4.27、8.5.12；供應商回補須另核對。更新 WordPress 或外掛不能代替 PHP 核心修補，配置調整亦非完整解決方案。
先把下方問題傳給託管商或網站維護者，取得實際版本及修補證明。 不清楚技術架構時，先確認再決定更新安排。
WordPress 的官方主機要求包含 PHP；WooCommerce 亦有伺服器要求。這些產品名稱可協助盤點，不能證明個別網站已受入侵或已修補。Laravel、自訂 PHP 系統也應向維護者確認實際部署。
PHP 是執行環境，WordPress、佈景主題及外掛是另一層。更新應用程式或安全外掛不能作為 PHP 核心已修補的證明。 命令列 PHP 的版本也不一定等同服務網頁請求的版本，應要求核對網站本身的執行環境，不只提供一張命令列截圖。
本文使用「PHP2Shell」方便辨識搜尋主題；下列 PHP 官方公告以兩項 CVE 及漏洞名稱識別，未使用此別名。
| 官方識別 | 條件與已公開證據 |
|---|---|
| CVE-2026-109618：OOM corruption | 記憶體耗盡可中斷內部資料初始化，後續清理使用無效狀態。官方已在 mod_php 驗證遠端執行；FPM 受影響有官方原始碼分析支持，但此項未展示完整 FPM exploit。 |
| CVE-2026-109619：stale global state | 請求資料釋放後留下狀態，由同一 worker 的後續請求於初始化前使用。官方已在 mod_php 及 FPM 驗證 session lifecycle 路徑；FPM 需要合適的應用程式操作。 |
以上證據來自 OOM 公告及狀態生命週期公告。可利用性取決於部署、配置與可達操作，不能推論每個網站已遭攻破。
| PHP 分支 | 本次修補版本 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
各分支早於上述版本者應安排更新，或取得套件供應商已回補兩項漏洞的證明；舊版號不一定代表沒有供應商回補。PHP 8.1 及更早版本不再獲 PHP 專案例行支援，須詢問供應商回補或遷移安排。
官方要求所有服務網頁請求的 PHP 部署盤點更新，並把 mod_php 列為最高風險。完整修補才是可靠處理方式。 WAF、限制上傳或關閉部分功能均不能直接當作完成修補。
複製以下內容，填上網址即可傳送：
網站網址：＿＿＿＿
請協助確認以下資料：
1. 實際服務此網站的 PHP 版本、執行方式及套件供應商是甚麼？
2. CVE-2026-109618 與 CVE-2026-109619 是否均已修補？
如屬供應商回補，請提供套件版本及公告／修補編號。
3. 更新何時完成？所有相關 PHP worker 是否已重啟？
4. 更新前的備份能否還原？不相容時的回復及停機安排是甚麼？
5. 誰負責更新後驗證表單、登入及網店交易？可提供哪些結果？
只收到「外掛已更新」、「防火牆已開啟」或「網站正常」時，仍需追問第 1 至 3 項。對方提供修補證明後，再核對它是否涵蓋正式網站、其他子網域及獨立服務。
以下是本文章的處理建議，不是對個別主機的檢測結果。
| 目前情況 | 建議下一步 | 先取得的資料 |
|---|---|---|
| WordPress／WooCommerce，託管商可管理 PHP | 由託管商確認核心修補，維護者配合相容性與主要功能驗證 | PHP 套件證明、備份、更新窗口及功能清單 |
| Laravel／自訂 PHP 系統 | 先評估版本相容性、部署方式及可承接範圍 | 原維護者、程式碼與部署資訊；不必在首次查詢傳密碼 |
| 不知道架構或沒有主機權限 | 先找出合約、託管商與帳戶管理者；確認可取得權限後才安排變更 | 網址、系統名稱、主機資料及現有維護責任 |
| 出現陌生管理員、異常轉址或不明檔案等入侵跡象 | 通知維護者並保留日誌及異常記錄，另行評估事故處理 | 發現時間、受影響頁面及現有記錄；跡象本身未能判定原因 |
修補漏洞與處理既有入侵是不同工作。更新完成不能證明惡意程式、被盜帳戶或其他入侵後果已移除。
以上是建議清單，本文沒有在客戶網站執行這些操作。暫時措施也有代價：例如 memory_limit=-1 會移除 PHP 的記憶體上限，底層配置失敗仍可觸發漏洞；停用 session upload progress 或 PHP 8.5 fatal backtrace 只阻斷部分路徑。不要直接照抄配置作為完成證明，應由管理員依官方公告評估。
PHP 網站安全更新及緊急修補服務以 WordPress／WooCommerce 企業網站及網店為主；Laravel、自訂系統等其他 PHP 網站先評估技術、主機權限及工作範圍，再決定是否承接。
免費初步了解，按系統及工作範圍報價。 初步只依你提供的網址、系統及主機資料判斷是否可承接，不登入後台。登入後的深入檢查、備份、修補及驗證屬收費工作，網站不列起步價。
收費範圍包括確認受影響情況、備份、升級或套用修補，以及網站主要功能驗證。備份可用性、回復安排、停機協調、驗證項目及無法安全更新時的替代安排，均按個案確認。
發現入侵跡象會通知客戶；惡意程式清理、事故調查或網站復原另行評估及報價，或依情況轉介。盡快回覆，評估後確認處理時間；沒有固定回覆或修復時限，亦不承諾全天候支援。
下一步：準備網站網址、系統名稱及主機資料，在服務頁了解查詢安排。
資料查核日期：2026-10-23。版本表以本次修補版為基準，安排更新時仍須核對官方與套件供應商的最新公告。
漏洞證據為官方文件查核，未由 Zoo AI 重現；流程清單及決策表為本文建議，不代表已完成主機測試、個別網站修補或入侵鑑證。
免費初步了解，按系統及工作範圍報價。WordPress／WooCommerce 為主要服務對象，其他 PHP 系統先經評估。