結論：截至目前，星軌數位針對本次 PHP 資安事件完成國紡企業官方網站的安全更新與防護加固，並已檢查相關日誌，未發現本次漏洞造成的影響。
針對近期 PHP 核心漏洞，星軌數位完成國紡企業網站安全更新
近期 PHP 專案公開兩個嚴重的 PHP 核心遠端程式碼執行漏洞，漏洞編號為 CVE-2026-109618 與 CVE-2026-109619。這兩個漏洞被業界稱為「PHP2Shell」，共同特徵是：在特定條件下，未經身分驗證的遠端攻擊者可能透過提供網頁服務的 PHP 執行環境，觸發記憶體錯誤並進一步執行任意程式碼。
國紡企業網站採用 WordPress 架構。WordPress 核心、佈景主題與外掛雖然不是這兩個漏洞的直接來源，但 WordPress 的 PHP 程式碼必須由伺服器上的 PHP 執行。因此，PHP 執行環境是否完成修補，與 WordPress 網站的整體安全性直接相關。
在相關資訊公開後，星軌數位立即針對國紡企業網站進行版本盤點、PHP 安全更新、服務重啟、設定檢查、網站功能驗證及日誌檢視。目前網站維持正常運作，未發現因本次事件造成的服務中斷、內容異常或未授權變更跡象。星軌數位也將持續監控網站與伺服器狀態，並依照 PHP 官方後續公告及主機環境供應商的安全更新持續調整防護措施。
這次 PHP 漏洞危機的影響範圍
這次事件的重點不在於 WordPress 是否已更新，而在於「實際負責處理網站請求的 PHP 服務」是否已修補。更新 WordPress 核心、外掛或佈景主題，並不會自動更新伺服器上的 PHP 執行環境。
PHP 官方指出，受影響的環境包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 及 LiteSpeed 等各類提供網頁請求處理能力的部署方式。其中，Apache 搭配 mod_php 的風險被 PHP 團隊列為特別需要優先處理的情境；部分攻擊路徑甚至可能在 WordPress 或其他應用程式開始執行前就觸發。
兩個漏洞的 CVSS v4.0 評分均為 9.2／10。成功利用時，攻擊者可能取得與網站 PHP 程序相同的檔案、資料庫或系統權限範圍，實際影響可能包括竄改網站檔案、植入後門、讀取設定檔與資料庫連線資訊，或進一步作為入侵主機與其他系統的跳板。因此，這不是只需要更新 WordPress 外掛的普通維護事件，而是需要由伺服器、PHP、Web Server、WordPress 應用層及網路邊界共同處理的重大資安事件。
兩個已修補的 PHP 核心漏洞
CVE-2026-109618：記憶體不足處理錯誤導致的遠端程式碼執行
PHP 會依照 memory_limit 控制單一請求可使用的記憶體。當請求在特定時機觸發記憶體不足，PHP 可能在內部請求資料尚未完成初始化時中斷處理。後續清理程序若將未完整初始化的資料誤認為有效結構，就可能造成記憶體破壞。
由於攻擊者可以影響部分請求資料與配置條件，記憶體破壞在特定環境下可能被進一步利用，形成未經驗證的遠端程式碼執行。這個問題位於 PHP 核心的記憶體管理與請求清理流程，不是某一個 WordPress 外掛單獨造成的錯誤。
星軌數位針對此類風險完成 PHP 服務安全版本更新，並確認更新後的 PHP worker 已重新載入修補後的執行檔。同時檢查請求大小、檔案上傳大小、PHP 記憶體限制及反向代理層的輸入限制，避免僅依靠單一設定作為防護。
CVE-2026-109619：請求間殘留狀態造成的 Use-After-Free
PHP 每次處理網頁請求時，都會建立與回收請求相關的內部狀態。若請求在特定錯誤流程中結束，某些內部狀態可能在其所屬記憶體已被釋放後仍被後續流程保留。當同一個長駐 PHP worker 接著處理另一個請求時，就可能使用已經失效的記憶體，形成 Use-After-Free（釋放後使用）問題。
這類錯誤可能造成程序崩潰。在特定條件與特定執行環境下，也可能被利用來進行遠端程式碼執行。由於 PHP-FPM 等服務通常會以長駐 worker 處理多個請求，因此更新完成後重新啟動或重新載入相關服務，是確保所有工作程序實際使用修補版本的重要步驟。
星軌數位除了更新 PHP 外，也檢查 PHP-FPM 或 Web Server 的 worker 狀態，確認舊程序已退出；並檢視 Session Upload Progress、錯誤處理、檔案上傳、匯入功能及可被外部請求觸發的 fatal error 路徑，降低同類型錯誤再次被利用的機會。
10 月 23 日新增的 Session Upload Progress 風險
PHP 官方在 10 月 23 日補充說明另一個尚未另行發布完整安全公告的風險，後續追蹤編號為 CVE-2026-115560。PHP 官方表示，這個問題只有在非常特殊的組合條件下才會出現：應用程式必須先以特定方式設定 Session serialize handler，再於執行期間切換設定，並且同時啟用 Session Upload Progress。
PHP 官方建議，在完成安全更新之外，可一併停用 Session Upload Progress 功能，以降低特定攻擊路徑的風險，並重新啟動所有 PHP worker：
session.upload_progress.enabled = 0
這項設定是臨時緩解措施，不能取代 PHP 安全更新。星軌數位已停用此功能，並確認設定實際套用到提供國紡企業網站服務的 PHP 程序，而不是只修改一個不會被正式服務讀取的設定檔。
星軌數位已將此項設定納入本次檢查範圍，並確認變更實際套用到提供國紡企業網站服務的 PHP 執行程序，而不是只修改一個不會被正式服務讀取的設定檔。對 PHP 這類長駐服務而言，設定變更後重新啟動或重載 worker 是驗證措施是否生效的必要步驟。
星軌數位的處置內容
1. 盤點實際提供網站服務的 PHP 版本
我們不是只查看命令列中的 php -v，而是確認實際由網站請求使用的 PHP 服務版本。因為命令列 PHP、PHP-FPM、容器映像檔或主機控制台所顯示的版本，未必完全相同。
同時也確認了正式環境、測試環境、舊容器或備援環境，避免只有主網站更新，其他仍可從網路存取的服務卻維持在未修補版本。
2. 套用 PHP 官方或供應商等效修補
PHP 官方針對主要支援分支發布的修補版本包括：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
若作業系統或主機供應商採用 backport 方式提供修補，版本字串不一定會完全等同於 PHP 官方上游版本。因此，專業驗證不能只看主版本號，也必須確認作業系統套件修訂號、供應商安全公告或容器映像檔是否已包含對應修補。
星軌數位依照正式伺服器的部署方式套用相應安全更新，並完成 PHP-FPM、Apache、LiteSpeed 或其他相關服務的重啟與健康檢查。
3. 調整可被外部請求利用的輸入邊界
在不影響網站正常功能的前提下，當前已檢查並加固了下列項目：
- HTTP request body 與 multipart request 大小
- post_max_size 與 upload_max_filesize 的比例及上限
- PHP memory_limit 與 worker 的資源邊界
- 檔案上傳、匯入及表單處理流程
- 反向代理或 Web Server 的請求解析限制
- 不必要的診斷輸出與公開錯誤資訊
- Session Upload Progress 相關設定
這些措施屬於縱深防禦。它們可以降低部分攻擊路徑或限制單一程序的影響範圍，但不能取代 PHP 官方修補版本。
4. 檢查 WordPress、外掛與公開 REST 介面
PHP 漏洞雖然位於伺服器執行環境，仍必須檢查 WordPress 應用層，確認沒有額外擴大攻擊面的設定或外掛問題。我們同步檢查 WordPress 核心、佈景主題、外掛、權限配置、檔案可寫入範圍、REST API 公開路由及不必要的診斷或管理端點。
公開 REST 介面只應保留網站實際需要的功能；涉及檔案讀取、除錯日誌、環境資訊、外掛管理或系統設定的端點，應要求適當驗證並限制權限，沒有使用需求的端點則應停用或限制其公開可見性。
5. 更新後進行功能與安全驗證
完成更新後，我們驗證首頁、內頁、文章、分類、聯絡表單、媒體資源、WordPress 後台及網站排程等核心功能，並確認 PHP worker 已使用更新後的執行環境。
同時檢查 Web Server、PHP、WAF、主機及 WordPress 相關日誌，觀察是否出現異常的 PHP worker 行為、程序啟動 Shell、可疑工具下載、異常檔案寫入、未知管理員帳號或不尋常的請求模式。
截至本公告發布時，國紡企業網站維持正常服務，未發現本次 PHP 漏洞造成的服務中斷、未授權內容變更或已確認的資料外洩跡象。這項判斷是依據目前可取得的監控與日誌檢查結果；星軌數位仍會持續監控，不以單次檢查取代後續事件追蹤。
為什麼更新 WordPress 不等於修補 PHP？
WordPress 是以 PHP 撰寫的應用程式，但 PHP 是由主機或伺服器環境提供的執行引擎。兩者屬於不同的更新範圍：
- 更新 WordPress：更新 WordPress 核心程式。
- 更新外掛或佈景主題：更新網站功能模組。
- 更新 PHP：更新伺服器實際執行 PHP 程式的核心環境。
因此，網站即使已經安裝最新 WordPress 版本，只要實際提供服務的 PHP 仍未修補，仍可能暴露於這次 PHP 核心漏洞的風險中。網站管理者可以在 WordPress 的「工具 → 網站健康狀態 → 資訊 → 伺服器」查看網站回報的 PHP 與伺服器資訊；但正式驗證仍應以主機供應商、作業系統套件或容器映像檔的修補紀錄為準。
未來持續追蹤
網站安全不是一次更新就結束，而是需要持續維護。
1.維持支援中的 PHP 分支，不要長期使用 PHP 8.1 或更早的生命週期結束版本。
2.確認主機供應商是否已針對 CVE-2026-109618 與 CVE-2026-109619 套用修補，並確認 PHP 服務已重啟。
3.不要只更新 WordPress、外掛或佈景主題，就認定 PHP 核心漏洞已處理。
4.保留漏洞公開前後的 Web Server、PHP、WAF 與系統日誌，以利必要時進行事件鑑識。
5.定期檢查管理員帳號、排程任務、可寫入目錄、未知 PHP 檔案及公開 REST 端點。
6.對重要網站建立備份、更新、回復及安全事件通報流程。
星軌數位將持續追蹤 PHP 官方安全公告、WordPress 安全更新及主機供應商通知，並依照國紡企業網站的實際運作需求，持續進行安全維護與效能優化。
