全球網站爆發重大資安危機！廣泛用於新聞網站、購物平台及企業官網的程式語言PHP，近日被發現兩個重大安全漏洞，可能讓駭客不需帳號密碼，就能遠端入侵網站伺服器。
日本首相高市早苗10月21日晚間緊急發文，呼籲網站經營者儘速修補漏洞，必要時甚至暫時關站。法國政府網站、日本pixiv、niconico等服務已陸續預防性下線，台灣數位發展部資安署也發布警示。
儘管PHP官方已緊急釋出安全更新，但這次漏洞究竟有多嚴重，為何讓全球多個網站寧可暫時關站？一般使用者又會受到什麼影響？ 本文整理事件影響、資安風險及應對方式。
PHP是什麼？為何這麼多網站都靠它運作？
PHP是一種在伺服器端執行的程式語言，負責在你看不見的地方把網頁「組裝」出來。 你在瀏覽器輸入網址、按下送出，伺服器上的PHP程式就去資料庫撈出對應的內容，拼成一頁完整的網頁再傳回你的螢幕。會員登入時比對帳號密碼的是它，購物車結帳時計算金額的是它，新聞網站把最新一篇文章排進首頁的也是它。
它之所以無所不在，很大一部分要歸功於WordPress。
根據網站技術統計機構W3Techs截至10月22日的資料，全球39.6%的網站使用WordPress架設，而WordPress本身就是用PHP寫的。除此之外，Drupal、Joomla、Magento這幾套常見的內容管理與電商系統，底層同樣是PHP。數位發展部資安署在10月22日的新聞稿裡特別提醒，部分軟體沒有明說，內部其實也是用PHP在跑。
據W3Techs說法，在能辨識出伺服器端程式語言的網站中，有69.3%使用PHP。這說明了PHP有多普及，也因此一個PHP的漏洞才會變成整個網路的集體事件。
這次的漏洞有多嚴重？為什麼駭客不用密碼也能進來？
如果要用一句話說明這次資安風險，就是駭客不用任何帳號密碼，就可能從網路上對你的網站伺服器下指令、跑他想跑的程式。
資安圈稱這類問題為「未經驗證的遠端程式碼執行」（unauthenticated remote code execution）。這次修補的是兩個這樣的漏洞，編號CVE-2026-109618與CVE-2026-109619，CVSS v4.0（通用漏洞評分系統）評分都是9.2分，屬於最高的「嚴重」等級。
簡單來說，一般的網站漏洞像是某扇窗沒關好，駭客得先找到那扇窗；這次的漏洞則是大門的鎖本身有問題，而且許多網站使用相同的底層技術。
資助PHP開發與資安工作的PHP基金會（The PHP Foundation）資安工程師Volker Dusch對《華爾街日報》說，這是PHP十多年來面臨過最嚴重的資安問題，他把它比作2014年迫使全球數十萬台伺服器緊急修補的Heartbleed漏洞。
為什麼這麼嚴重？因為漏洞出在PHP最核心的兩個部分：記憶體管理與錯誤處理。PHP基金會在10月21日的聲明裡指出，這兩個部分是「幾乎每一個網頁請求都會經過的地方」，牽連之廣，也是它後來難修的原因。
至於後果，惡意程式會以網站程式本身的權限執行，不一定等於拿到整台主機的最高權限。即使如此，網站代管商GoDaddy對《路透》表示，可能的結果包括資料被竊、網頁被竄改，乃至整台系統被接管。更麻煩的是，被接管的網站本身會變成攻擊工具。《華爾街日報》就指出，攻擊者可以透過被入侵的網站，對每一個造訪者下手。
但也別過度恐慌，以下三件事必須分清楚：
- 用PHP不等於中鏢：有沒有受影響，看的是修補狀態。更新到修補版本後漏洞就關上了；但更新不能證明之前沒被打過，所以資安署才建議更新後查日誌。
- 有風險不等於已經被駭：網站暫時打不開，常見的情況是經營者預防性下線檢查。
- 風險高低看架構：PHP官方公告明確表示，所有對外提供網頁服務的PHP安裝都在範圍內，其中一種常見的伺服器架構（技術上稱Apache搭配mod_php）風險最高，因為已經有人示範，攻擊可以在網站自己的程式碼開始執行之前就得手。
Cloudflare技術長Dane Knecht在10月21日表示已觀察到早期攻擊出現，PHP官方也明說：沒有任何完整的替代防護措施，更新是唯一安全的選擇。
哪些網站先關站了？為什麼「關站」反而是負責任的做法？
政府、醫院、大型平台都有，而且報導中的案例都是經營者主動下線，不是被打下來的。
歐洲方面，《路透》報導，10月21日歐洲多國政府網站下線，法國政府網站info.gouv.fr當天顯示無法連線。歐盟資安應變團隊CERT-EU的指引很直接：無法立即修補的單位，應該把受影響的網站下線，而非讓它暴露在外。
德國《柏林日報》（Berliner Zeitung）以PHP漏洞為題，引述德新社報導柏林的夏里特大學醫院基於安全理由關閉官網、病患暫時無法線上預約，但也指出醫院並未說明具體要防範的威脅；該報形容，已有部分地方政府、機關、大學與醫院「預防性地把線上服務撤下網路」。
日本的反應更全面。除了高市早苗親自發文，日本政府的資安主管單位也接連發出警示；《Impress Watch》報導，pixiv、niconico等多個大型服務與多款線上遊戲，在日本時間21日晚上8點後陸續進入緊急維護，多數是「警戒修補程式公開後的攻擊，預防性地先行停止」。
台灣方面，資安署在22日發布新聞稿，表示已透過資安警訊等管道通知各機關與企業，呼籲使用PHP的機關、學校與企業儘速完成版本確認與更新。
為什麼寧可關站？關鍵在修補程式釋出的那一刻，攻防雙方的時鐘同時啟動。守方要測試、安裝更新；攻方則會拿修補程式來反推漏洞在哪裡。發現漏洞的資安公司Calif，其執行長Thai Duong對《華爾街日報》指出：「推特上隨便一個人都可以拿修補程式去跑AI，然後貼出攻擊腳本。到時候就天下大亂了。」
一般人需要擔心嗎？網站經營者該做什麼？
一般使用者不需要在個人裝置安裝PHP修補，但仍要留意熟悉網站上的異常下載、轉址或登入要求。網站經營者則須確認：負責管理PHP的人，是否已經完成修補？依你的身分，可對照下方行動卡。
一個2024年就被看見的漏洞，為什麼拖到AI證明才修？
人類早就看見了問題；是AI協助證明「真的打得進去」，才改變修補的優先順序。 從早期隱患到網站預防性停站，關鍵經過如下：
2024年，PHP在德國主權科技局（Sovereign Tech Agency）出資下，進行多年來第一次外部資安稽核。一名核心開發者在處理稽核發現的問題時，察覺記憶體用盡時的處理瑕疵，但當時沒有找到具體的攻擊方法。
修補卡關，並不是沒人知道要修，而是每種修法都有代價：可能讓舊程式跑不動、引入新的服務中斷風險，或需要大量PHP擴充套件配合修改。團隊採共識決，又缺乏熟悉引擎的資深人力，工作因此反覆停擺。基金會坦言：「這個延誤是一次結構性失敗，源於資安團隊的決策流程，也源於資源不足。」
Calif研究員Ryan Austin借助OpenAI的GPT-5.6 Sol，證明了這個問題能被用來遠端執行程式碼。AI的作用在於跨過「知道有隱患」到「證明能入侵」的門檻。Wiz對《路透》表示，要證明這些瑕疵可被利用，所需的一連串步驟「處在人類研究者實務上做得到的邊緣」。
風險獲得證實後，多人全職投入，連周末都在趕工。《華爾街日報》指出，修補涉及近200個檔案、超過1萬行程式碼。這也說明，即使AI幫忙找到攻擊方法，真正修好問題仍需要大量工程工作。
AI讓找漏洞變快，但懂得怎麼修的人還是太少
找漏洞的速度變快了，攻守兩邊都一樣；但真正懂PHP引擎、能決定怎麼修的資深人力，還是太少。
AI的貢獻很明確：它把「證明漏洞可利用」這件過去要頂尖研究者耗費大量時間的工作，壓縮到幾周內完成，而且不只一家。除了Calif借助GPT-5.6 Sol，OpenAI與Wiz也各自用AI找到攻擊路徑。AI輔助的研究讓PHP資安團隊收到的通報量大增，7月1日以來已公告15個漏洞，另外處理了超過100件無效、重複或無法重現的通報。
但攻擊者手上有同樣的工具。Duong那句話點出的就是這件事：修補程式一公開，AI可能加快攻擊者反推漏洞、開發攻擊程式的速度，讓守方能從容更新的時間更短。
而PHP基金會自己下的結論，才是這起事件最該被記住的部分：工具做不到的，是替一個存在多年的引擎設計決定該怎麼修、權衡相容性的代價、然後審查修補程式。這需要熟悉整個PHP程式碼的資深工程師。
事實上，基金會2026年5月成立了生態系資安團隊，7月和9月又各增聘一名資安工程師，但這樣的人力仍然太少；撐著這麼多網站的這套軟體，資安工作至今依賴一小群基金會資助的開發者和少量志工。
基金會在聲明的最後，直接向靠PHP營運的企業、主機商、雲端平台與政府機構喊話：請依你們對PHP的依賴程度出資贊助。
資料來源：PHP官方安全公告、PHP基金會聲明、《華爾街日報》、《路透》、高市早苗X貼文、W3Techs PHP使用統計、數位發展部資安署新聞稿、《Impress Watch》、《柏林日報》、Malwarebytes部落格
本文初稿為AI編撰，整理．編輯/ 李先泰
