研究人員發現 PHP 存在使用釋放後記憶體（Use After Free）漏洞。攻擊者可透過傳送特製之 multipart/form-data HTTP 請求，在未經身分鑑別的情況下，於伺服器底層執行任意程式碼。網路上已出現本漏洞之概念驗證程式（PoC），請各單位儘速確認並處置。

1影響平台

WordPress、Drupal、Joomla 及 Magento 等內容管理系統（CMS）之底層架構多使用 PHP 運作，建議一併盤點並儘速處置。

2建議措施

官方已針對本漏洞釋出修補，建議系統管理者儘速將 PHP 升級至下列受支援之最新安全版本：

官方更新公告與下載網址：https://www.php.net/downloads.php

PHP 8.1（含）以下版本因官方已停止維護（EOL），不會獲得官方修補更新，建議儘速升級至上述仍支援之版本。

3參考資料

• https://nvd.nist.gov/vuln/detail/CVE-2026-109618
• https://nvd.nist.gov/vuln/detail/CVE-2026-109619
• https://www.php.net/archive/2026.php#2026-10-20-1
• https://www.php.net/downloads.php