七成網站都在用的 PHP 出事了！壞掉的不是 WordPress，是 PHP 本身，防火牆為什麼擋不完？

10 月 21 日，PHP 本體被公開兩個漏洞，統稱 php2shell，攻擊者不用帳號、不用登入，就有機會拿下伺服器。日本網拍、遊戲、銀行陸續緊急維護，荷蘭、芬蘭政府網站先下線。 日本首相在晚上親自發文，請大家「今晚就處理」。一個軟體漏洞，為什麼嚴重到這個等級？ 【架站的人現在該做的事】 ・更新 PHP 本身到 8.5.12、8.4.27、8.3.36 或 8.2.35（找主機商或作業系統套件），重新啟動 PHP。 ・還在用 8.1 以前的版本：官方不再維護，CISA 建議先下線，再升級。 ・依台灣資通安全署建議，盤點所有 PHP 系統與相關套件，更新後檢查日誌與異常存取。 0:00 序章・今晚就處理 1:50 第一章・壞掉的是廚師 3:41 第二章・兩個漏洞 5:20 第三章・繃帶 8:10 第四章・14 年的老洞 9:42 第五章・提早一天 12:02 尾聲・要不要關掉 -- 原始來源 ・PHP 官方安全公告與 8.5.12／8.4.27／8.3.36／8.2.35 發布（2026-10-20、10-21）https://www.php.net/ ・PHP GitHub 安全公告 GHSA-w8hw-w9fx-j79w（CVE-2026-109618）https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w ・PHP GitHub 安全公告 GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp ・CISA：Critical Vulnerabilities in PHP Require Immediate Patching（2026-10-21）https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching ・Cloudflare：Cloudflare deploys protections against php2shell vulnerability（2026-10-21）https://blog.cloudflare.com/php-vulnerabilities-waf-protection/ ・Matthew Prince X 貼文（2026-10-21）https://x.com/eastdakota/status/2112933115215905229 ・高市早苗 X 貼文（2026-10-21）https://x.com/takaichi_sanae ・Greg Brockman X 貼文（2026-10-21）https://x.com/gdb/status/2112921529650688312 ・數位發展部資通安全署新聞稿（2026-10-22）https://moda.gov.tw/ACS/press/news/press/21134 ・中央社：PHP爆重大資安漏洞 歐洲多地政府網站緊急下線防駭（2026-10-22）https://www.cna.com.tw/news/ait/202610220002.aspx ・Fortune：AI helped discover the PHP vulnerability…（2026-10-21）https://fortune.com/2026/10/21/ai-tools-discovered-the-php-vulnerability-that-could-take-down-70-of-the-internet-now-the-race-is-on-to-patch-it-before-ai-powered-hackers-attack/ ・Decrypt：Who Found the PHP Bug That Made Governments Unplug Their Websites?（2026-10-21）https://decrypt.co/381567/who-found-php-bug-governments-unplug-websites-chatgpt ・Rapid7：CVE-2026-109618 and CVE-2026-109619（2026-10-21）https://www.rapid7.com/blog/post/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php/ ・SecurityWeek：PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors（2026-10-21）https://www.securityweek.com/php2shell-patches-land-as-first-exploitation-attempts-hit-sensors/ ・Equixly：What we know about PHP2Shell（2026-10-21）https://equixly.com/blog/2026/10/21/cve-2026-109618-and-cve-2026-109619-what-we-know-about-php2shell-and-how-to-prepare/ ・watchTowr：PHP2Shell（2026-10-21）https://watchtowr.com/intelligence/php-remote-code-execution-php2shell/ ・The National：PHP security issues: Websites go offline（2026-10-21）https://www.thenationalnews.com/future/technology/2026/10/21/php-security-issues-exploit/ ・ITmedia NEWS：高市総理「大至急、PHPパッチ適用を」（2026-10-22）https://www.itmedia.co.jp/news/article/2610/22/2000002483/ ・TBS NEWS DIG（2026-10-21）https://www.youtube.com/watch?v=sUTribPI3xY ・日本電視台 news zero（2026-10-21）https://www.youtube.com/watch?v=QXU7j5loMpI 延伸閱讀 ・區塊勢第 741 期：AI 駭客問世！鏈上攻防進入熱兵器時代（2025-12-15） 片中原音取自：TBS NEWS DIG（2026-10-21，日本駭客協會代表理事杉浦隆幸）、日本電視台《news zero》（2026-10-21，日本 Proofpoint 增田幸美）。人物照片截自兩段節目畫面。 -- 訂閱區塊勢：https://blocktrend.today 合作邀約：hi@blocktrend.today #PHP #php2shell #資安 #漏洞 #Cloudflare #高市早苗 #WordPress #AI資安 #區塊勢