歐洲、日本政府網站先關門！PHP2Shell 漏洞有多嚴重？一次看懂

10 月 21 日起，歐洲、日本不少政府網站先暫停服務。PHP 遇到錯誤，正常把請求停下來，怎麼反而會有危險？這支影片用電腦與記憶體的圖解，說明 PHP2Shell 兩個漏洞（CVE-2026-109618、CVE-2026-109619）怎麼發生、事情的時間線，以及一般人和網站管理者該怎麼做。預防性停站代表管理者認為風險很高，不等於網站已經被入侵。 【給網站管理者】 ・要更新的是 PHP 本身，不是只更新 WordPress：8.5.12、8.4.27、8.3.36、8.2.35 或更新的版本。8.1 和更舊的版本沒有官方更新，請找發行版或長期維護廠商的修補，或直接升級。 ・更新後要重新啟動每個 PHP worker，修補才會生效。PHP 由主機商代管的，請他們確認已經更新、也已經重新啟動。 ・PHP 官方 10/23 補充公告：在少數特殊設定組合下（應用程式在執行期間用 ini_set() 把 session.serialize_handler 換成 php），還有一條不太可能發生的遠端執行風險。官方建議在下一次常規修正版之前設定 session.upload_progress.enabled=0。這個設定要寫在 php.ini、FPM pool 或伺服器設定這類請求解析前就生效的地方，並重新啟動每個 worker；ini_set() 和 FPM 的 .user.ini 都不算。10/21 已照官方建議關掉的，維持即可；從不在執行期間更換 serialize handler 的應用，可以維持啟用。公告原文： https://www.php.net/archive/2026.php#2026-10-23-1 【章節】 0:00 網站為什麼先暫停 0:42 電腦怎麼處理一次送出 1:25 漏洞 1：計數先加一 3:07 漏洞 2：舊紀錄沒重設 3:42 時間線：從線索到修補 4:50 我該怎麼做 5:51 回頭看 【參考資料】 ・PHP 官方公告（2026-10-21）Security advisory: Critical remote code execution vulnerabilities, update now https://www.php.net/archive/2026.php#2026-10-21-5 ・PHP 官方預告（2026-10-20）Upcoming Critical PHP Security Release https://www.php.net/archive/2026.php#2026-10-20-1 ・PHP 官方補充公告（2026-10-23）Informational advisory: Session upload progress https://www.php.net/archive/2026.php#2026-10-23-1 ・PHP 安全公告 GHSA-w8hw-w9fx-j79w https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w ・PHP 手冊：Description of core php.ini directives https://www.php.net/manual/en/ini.core.php ・PHP 基金會（2026-10-21）Today's PHP Security Release, and How We're Strengthening PHP Security https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ ・Calif（2026-10-21）A tale of two PHP remote vulnerabilities https://calif.io/php2shell/ ・Wiz Research（2026-10-21）PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet https://www.wiz.io/blog/php2shell-php-rce ・OpenAI（2026-10-21）Patch the Planet: global response coordination as agents uncover critical vulnerabilities https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ ・Cloudflare（2026-10-21）Cloudflare deploys protections against php2shell vulnerability https://blog.cloudflare.com/php-vulnerabilities-waf-protection/ ・watchTowr（2026-10-22）PHP2Shell FAQ https://watchtowr.com/intelligence/php-cve-2026-109618-faq/ ・Eric Geller，Cybersecurity Dive（2026-10-21）Critical PHP vulnerabilities expose most websites to potential compromise https://www.cybersecuritydive.com/news/php-website-vulnerabilities/833580/ ・日テレNEWS（2026-10-22）厚労省「PHP」脆弱性の指摘受け介護サイトなど一部サイトの公開を停止 https://news.ntv.co.jp/category/society/3b64f32972b64bd593e81a76d8b3d9d3 ・日テレNEWS（2026-10-22）気象庁、ホームページの緊急メンテナンス https://news.ntv.co.jp/category/society/15cf865b61c1475897ae31e817c69526 ・橫濱市（2026-10-22）横浜市が管理するウェブサイト等の一部停止について https://www.city.yokohama.lg.jp/city-info/gyosei-kansa/yokohamadx/notice/notice20261022.html ・台視新聞（2026-10-22）資安署說明 PHP 漏洞 https://tw.news.yahoo.com/php%E7%88%86%E6%BC%8F%E6%B4%9E%E5%85%A8%E7%90%837%E6%88%90%E7%B6%B2%E7%AB%99%E7%B7%8A%E5%BC%B5-%E8%B3%87%E5%AE%89%E7%BD%B2%E6%B7%B1%E5%A4%9C%E7%99%BC%E8%AD%A6%E5%91%8A-021530573.html ・界面新聞（引央視新聞，2026-10-22）https://finance.sina.com.cn/jjxw/2026-10-22/doc-iniwchpf5928205.shtml ・W3Techs（2026-10-23）Usage statistics of PHP for websites https://w3techs.com/technologies/details/pl-php 旁白使用 ElevenLabs 的 AI 語音生成，封面插圖由 AI 生成，片中圖解動畫為自製。配樂與音效來自 Pixabay。