中華民國第三方支付服務業商業同業公會
選單
公告

PHP 重大資安漏洞提醒　本會已通知全體會員加強防護


PHP 官方於115年10月21日公布兩項重大資安漏洞（CVE-2026-109618、CVE-2026-109619）並發布安全更新。相關漏洞可能使攻擊者在未經身分驗證的情況下，遠端執行程式碼，危及網站、系統運作及資料安全。

中華民國第三方支付服務業商業同業公會已通知全體會員，儘速盤點內部系統及委外服務之 PHP 使用情形，確認受影響範圍並完成修補，同時檢查是否存在異常存取或入侵跡象。本會亦請會員主動提醒旗下商家及相關服務使用者，提供修補指引、技術諮詢或可行協助方案，共同降低支付服務及商家網站的資安風險。

東吳大學許哲銓教授(10/22)特別提醒業者，請務必注意相關log紀錄，可有效追蹤異常作業。

提醒網站經營者及系統管理維運人員儘速確認


凡網站、電子商務平台、內容管理系統或其他網路服務採用 PHP 技術者，請儘速確認所使用的版本是否受影響。若網站由外部廠商建置、維護或代管，或不確定是否使用 PHP，請主動聯繫網站建置、系統維運或主機服務廠商，確認使用情形及修補進度。

本次官方發布之修補版本為 PHP 8.2.35、8.3.36、8.4.27及8.5.12，請依使用分支更新至對應修補版本或後續安全版本；採用供應商維護套件者，應確認已納入本次漏洞修補。使用已停止官方支援之舊版者，請洽供應商確認修補支援，並儘速規劃升級。

如無法立即完成修補，應由技術人員評估隔離或暫停受影響服務對外存取，並儘速完成修復及驗證。暫時性防護措施無法取代正式修補，亦不宜僅以網站仍可正常運作，作為未受影響的判斷依據。

發現疑似資安事件應立即應變，並依適用規定通報


如發現系統遭入侵、資料異常存取、疑似外洩或其他資通安全事件，應立即啟動應變程序，保存相關日誌與證據，並依所屬產業適用法規及主管機關規定，於期限內辦理通報；涉及個人資料事故者，亦應依法辦理當事人通知。通知支付服務業者或維運廠商，不能取代依法應履行之通報義務。

本會將持續向會員傳達相關資安資訊，促請會員落實系統防護及客戶提醒，攜手商家與技術服務夥伴，維護第三方支付交易安全及使用者權益。