PHP 爆恐慌：兩個重大漏洞危及七成網路，社群全面炸鍋

如果你今天有上網，你一定看到了這股恐慌：一個嚴重漏洞正威脅要「攻陷」地球上幾乎每一個網站。

芬蘭才剛在週三開始關閉政府網站，美國國家安全局（NSA）建議所有使用 PHP 的組織關閉其網站，荷蘭和法國也採取了同樣做法。而且，這並不是一場網路戰爭。

罪魁禍首是 PHP，一種大多數人從未聽說過的程式語言。不過，你今天幾乎肯定用過它：根據 W3Techs 的資料，在伺服器端語言已知的所有網站中，約有 70% 由它運行。

PHP 是網站伺服器幕後運作的軟體——也就是儲存網站並建構你所請求的每個頁面的那台電腦。舉例來說，每個 WordPress 網站都架設在 PHP 伺服器上，根據 WordPress 安全公司 Wordfence 的說法。

喔，順帶一提，Wordfence 也掛了。

PHP 本身新發現的兩個漏洞，讓陌生人可以在完全不用登入的情況下，在那台伺服器上執行自己的指令。安全專家稱之為未經身分驗證的遠端程式碼執行。其他人則可以稱之為「現在換別人開車了」。

如果那台伺服器儲存了你的帳號、你的地址或你的訂單紀錄，那麼，那些也都歸他們了。網站主機商 GoDaddy 警告，這些漏洞可能讓攻擊者竊取資料、竄改網站，或完全接管伺服器。

「像這樣的漏洞可能讓攻擊者透過網際網路在受影響的伺服器上執行自己的程式碼，這可能導致資料被竊取、網站被竄改，或遭到完全接管，」GoDaddy 表示。

PHP 公布了什麼

資助該語言開發的非營利組織 PHP 基金會於週二發出警報。在 X 上分享的聲明中，它表示：「PHP 安全團隊預先通知：即將於 2026 年 10 月 21 日（週三）14:00 UTC 發布安全性更新，兩個重大漏洞，皆評定為 CVSSv4 9.2。鼓勵 PHP 使用者準備更新。若細節公開或有積極利用的證據，將提前發布。」

那個 9.2 來自 CVSS，即通用漏洞評分系統，它根據漏洞透過網際網路被觸及的難易度以及可能造成的損害程度等因素，來評定漏洞的危險程度。分數從 0 到 10，9.0 以上皆標記為重大——所以這兩個漏洞可說是在未達滿分 10 的情況下最糟的程度了。

修補程式於週三 UTC 約 13:35 發布，比預定時間早了數分鐘，版本為 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。安全公告毫不委婉：「強烈建議所有 PHP 使用者立即更新。」

但發布修補程式和讓所有人都實作該解決方案並不是同一回事，因此建議保持謹慎。

這些漏洞如何運作

第一個漏洞，CVE-2026-109618，會在 PHP 於處理請求的過程中耗盡記憶體時出現，之後卻把那份建構到一半的資料當作已完成來處理。第二個漏洞，CVE-2026-109619，則讓某位訪客請求的殘留資料在本應被丟棄後仍留在記憶體中，下一個請求可能會撞上它們。

想像一位廚師不斷從已經丟進垃圾桶的點菜單上讀取訂單。把一張假點菜單塞進垃圾桶，廚師就會照著你在上面寫的內容做出來。在這個案例中，「訂單」就是攻擊者的程式碼，而伺服器會執行它。

PHP 表示，使用名為 mod_php 這種常見 Apache 設定的伺服器風險最高，在該環境下已示範的漏洞利用可在「任何應用程式程式碼執行之前」生效。換句話說，網站自身的防禦機制，例如登入畫面與 WordPress 安全外掛，根本不會被喚醒。

PHP 基金會的研究人員指出，PHP 的上傳進度功能——也就是追蹤你已傳送多少檔案內容的那項功能——是已確認的入侵途徑之一。它十多年來一直預設開啟，而實際上很少有網站會用到它。

先外洩，然後攻擊

這一切原本都不該公開。週二時，有人在 Hacker News 論壇發文表示，兩個 PHP 漏洞將於週四揭露，同時承認他們「除了『消息來源：相信我，兄弟』之外沒有任何證據」。

結果這位兄弟是對的。安全公司 watchTowr 證實這些漏洞確實存在且處於禁發期——即在修補程式準備好之前保持細節保密的協議——而 PHP 則將發布時間提前了一天。

「我們看到早期攻擊正在出現，並隨著新途徑的出現持續更新緩解措施，」Cloudflare 技術長 Dane Knecht 在週三清晨、也就是修補程式發布前將近六小時，在 X 上寫道。Cloudflare 向所有客戶推送了緊急防火牆規則，也就是阻擋已知攻擊模式的過濾器，但 Knecht 稱它們「僅是權宜之計」。

各國政府按下關閉開關

據公共廣播機構Yle報導，芬蘭國家資訊科技中心Valtori已開始將公共網路服務下線作為預防措施，而荷蘭國家網路安全機構也關閉了自己的網站。

法國内政部表示，其省級行政機關網站已「暫時下線，等待該框架發行商發布安全修補程式」。

歐盟網路緊急應變團隊CERT-EU告訴無法修補的組織「考慮將面向網際網路的應用程式與公共網路隔離，直到有修補程式可用為止」。這是官僚術語，意思就是「拔掉插頭」。據路透社報導，澳洲、日本和英國的機構也表達了大致相同的看法。

瘋傳貼文搞錯了什麼

X上瘋傳的討論串聲稱「可追溯至2004年」的PHP版本都受到影響。這可追溯至早期估計，認為自PHP 5以來的所有版本都受影響，而CERT-EU承認這是基於社群媒體貼文。

電子商務安全公司Sansec將範圍定為PHP 5.4及之後的版本。所以是2012年，不是2004年——但仍然相當老舊。

PHP僅為8.2及更新版本提供官方發行版，這使得「舊版本沒有修補程式」的說法只對了一半。鑑於這次問題的嚴重程度，其安全團隊也為7.4、8.0和8.1發布了精簡的原始碼修補程式，而Linux發行版也正在自行回移植修補程式。

安全公司Mallory統計，10月20日約有884,000個面向網際網路的主機宣告使用PHP 8.1或更舊版本，約占公開顯示版本資訊的約150萬個主機中的59%。單一共享主機伺服器可承載多個網站，因此其背後的網站數量更高。

有些討論串還把Node.js混為一談，那是另一種網路技術，恰好安排在同一天發布自己無關的安全更新。時機真不巧。

即使修補後的版本也不會同時送達每一台伺服器。「如果你依賴由志工維護的 https://rpms.remirepo.net，我們敦促你現在就改用發行版套件或從原始碼建置，這樣你就能立即套用更新。該儲存庫今天不會有更新，」PHP 基金會在聲明中表示，所指的是一個受歡迎、由志工經營、為 Red Hat 系 Linux 伺服器提供 PHP 套件的來源。

你真的該在意嗎？

你不該恐慌，但也不該聳聳肩不當一回事。舉例來說，一個被駭的網站不需要碰觸區塊鏈，就能掏空你的錢包。2024 年，攻擊者將 DeFi 協議 Compound 和 Celer 的前端重新導向到會盜空已連接錢包的頁面，而 Curve Finance 在 2025 年也遭遇了類似的攻擊。

那些是 DNS 劫持，不是 PHP 漏洞，但手法如出一轍：網站看起來正常、網址看起來正常，而「核准」按鈕卻把你的代幣送到別處。一台遭入侵的伺服器就能提供正是那樣的頁面。

談到零日漏洞利用，駭客可以非常快速地展現出極高的創意。

這類漏洞也變得越來越容易發現，因為前沿 AI 模型日益被用於尋找軟體漏洞，而專家在六月告訴 Decrypt，隨著這些工具普及，可能會有更多漏洞浮現。

接下來會發生什麼，以及該怎麼做

一旦修補程式公開，攻擊者就能比對舊版與新版程式碼，確切看出修補了什麼，而資安公司 Sansec 的鑑識團隊表示，他們預期「大規模攻擊會在發布後 15 分鐘內開始」。2024 年 6 月另一個 PHP 漏洞公開時，Akamai 在其誘餌伺服器上在 24 小時內就經歷了漏洞利用嘗試。

那麼一般人應該恐慌嗎？倒也不盡然。你的手機、瀏覽器和筆記型電腦不需要 PHP 修補程式；這項工作落在運行你所使用網站的人身上。

如果你經營一個網站，請詢問你的主機服務供應商 PHP 是否已更新，而且不要指望 WordPress 會替你完成這件事：Wordfence 警告自動更新不會套用此修正，並告訴網站擁有者要查明誰負責更新他們伺服器上的 PHP。任何使用 8.1 或更舊版本的人都需要規劃升級。

「我唯一能說的是，唯一的緩解措施就是修補／升級 PHP，」PHP 核心開發者 Gina Peter Banyard 在 Mastodon 上表示。「可惜我知道得太多了。」

而如果你使用的是 PHP 8.2，你剛取得的修正只是你最後幾次修正之一：該版本將於 2026 年 12 月 31 日終止支援，之後就不再獲得任何安全修補程式。