近日，廣泛使用於網站及內容管理系統的PHP發現兩項重大安全漏洞。由於許多網域名稱註冊人將網站建置、主機及後續維護委託外部廠商辦理，未必能直接掌握網站使用的PHP版本及修補情形，TWNIC除透過EDM通知外，也整理註冊人應向服務廠商確認的重點摘要如下：
PHP官方於2026年10月21日釋出安全更新，修補CVE-2026-109618及CVE-2026-109619兩項漏洞，嚴重度評分均為9.2。這兩項漏洞可能讓未經身分驗證的攻擊者，在受影響的伺服器遠端執行任意程式碼，影響網站運作及資料安全。
資通安全署亦於行政院會後記者會說明經盤點，國內約有2.8萬個對外網站使用PHP，其中政府機關網站約200個；但並非所有網站均使用受影響版本，實際受影響數量會較少。
TWNIC提醒網域名稱註冊人，若網站、購物平台、會員系統或管理後台由外部廠商建置或維運，應立即聯繫網站建置公司、主機商、平台業者或維運廠商，確認下列事項：
一、網站及相關系統是否使用PHP，以及目前使用的版本。
二、是否已更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35，或完成發行版及長期支援廠商提供的對應修補。PHP 8.1及更早版本已停止官方維護，應向供應商確認是否提供回補更新，或升級至仍受支援的版本。
三、使用WordPress、Drupal、Joomla、Magento等內容管理系統者，仍應確認其底層PHP環境是否完成更新。
四、完成更新後，是否已檢視系統日誌及異常存取紀錄；如發現可疑活動，應進一步確認相關帳號及憑證安全性，並檢查是否已有遭入侵或植入後門的跡象。
五、若無法立即完成更新，應請維運廠商評估將對外系統與網際網路隔離或暫停服務，直到完成修補及驗證。
網站委外建置或維運後，註冊人仍應掌握服務由誰負責、何時完成修補，以及如何確認修補結果。建議要求廠商以書面提供使用版本、修補日期、檢查結果及後續聯絡窗口，並妥善保存相關紀錄。
TWNIC將持續關注PHP官方及國內資安單位發布的資訊，並適時向網域名稱註冊人提供必要提醒，共同維護網站服務與使用者資料安全。