PHP 是什麼？

 

國家資通安全研究院 - PHP存在高風險安全漏洞 (CVE-2026-109618與CVE-2026-109619)，請儘速確認並進行處置

PHP是什麼？全球網站爆重大資安漏洞：為何連政府、醫院都緊急關站？一般人會受影響嗎？| 數位時代 BusinessNext

藏匿 10 年的系統缺陷

全球廣泛使用的網頁後端程式語言 PHP 於 2026 年 10 月 21 日晚間遭揭露存在兩項核心安全漏洞（編號 CVE-2026-109618 與 CVE-2026-109619），其危險評分高達 9.2 分。這兩項漏洞屬於使用釋放後記憶體（Use After Free）的嚴重缺陷。

攻擊者只需透過傳送特製的 multipart/form-data HTTP 請求，即可在未經身分驗證（免密碼登入）的情況下，從遠端直接執行任意惡意程式碼並接管網站伺服器。 [1, 2, 3, 4, 5, 6]

⚠️ 漏洞三大關鍵危機

1. AI 挖出藏匿 10 年的系統缺陷：這項漏洞據稱已潛伏在 PHP 核心超過 10 年，近期才被先進的人工智慧（AI）技術發現。由於修補程式與攻擊程式碼已提前公開，專家警告駭客同樣能利用 AI 迅速發動自動化攻擊，全球恐面臨一波極大規模的入侵潮。
2. 全球與台灣受波及範圍極廣：全球有將近 7 成的網頁後端系統基於 PHP 運作。中華民國數位發展部資安署指出，台灣約有 2 萬 8,000 個對外網站使用 PHP（其中包含約 200 個政府機關網站），目前已啟動緊急應變專案小組處理。
3. 國際引發「預防性關站潮」：日本在漏洞揭露當晚，全境包括政府機關、金融機構、零售、交通運輸及汽車產業網站紛紛暫停服務以進行緊急維護，甚至首相高市早苗的官網也一度關閉。歐洲多國政府與歐盟當局亦採取相同手段，強烈建議無法立即修補漏洞的網站應預防性下架以防遭殃。

🛡️ 網站維運企業與網管人員應對指南

由於漏洞存在於 PHP 執行環境本體，單純更新 WordPress、Magento 或網頁應用程式（App）原始碼是完全無效的，必須針對伺服器環境進行底層升級。

• 立即全面盤點與更新：確認所有執行 PHP 的環境，並盡速下載安裝 PHP 官方安全團隊釋出的最新緊急修補版本。 
• 檢視舊版本支援：針對 PHP 8.1（含）之前的舊版本，因已逐漸失去官方支援，應確認操作系統長期支援服務商（如 Linux 發行版）是否提供安全修正回補（Backporting），或規劃全面升級。
• 優先防護高風險頁面：應立刻優先清查與防護直接對外公開、且涉及檔案上傳、管理後台、線上付款及客戶資料的網站功能。
• 進行入侵事後追查：由於漏洞資訊已公開，完成更新後也必須徹查伺服器日誌，追蹤在修補前是否已出現異常程序、可疑檔案變更、網頁後門（Webshell）或異常對外連線。

💡 一般消費者與大眾提醒

資安專家強調，真正需要動手修補此漏洞的是網站營運商，而非一般民眾或讀者。不過，重大漏洞爆發後，詐騙集團極可能假冒網站官方，透過電子郵件或簡訊發送「網站安全通知」的釣魚訊息，誘騙民眾重新登入、點擊惡意連結或驗證帳號。近期若收到任何要求修改密碼或登入驗證的通知，切勿直接點擊，請務必透過官方管道再度核實。