程式語言PHP重大資安漏洞 引發全球關站潮 重點一次看
編譯劉忠勇／即時報導 2026-10-22 01:35 ET 聽新聞 test 0:00 /0:00 Your browser does not support HTML5 Audio! 😢 瑞士日內瓦大學網站因應歐盟電腦緊急應變小組（CERT-EU）呼籲，在發現資安漏洞後暫時關站。PHP程式語言出現漏洞，可能讓駭客控制伺服器。全球約七成網站及其承載的應用程式使用PHP。（歐新社）AI摘要
文章摘要整理：
PHP爆出2項CVSS 9.2重大漏洞後，全球已出現攻擊與預防性關站潮，亞洲、歐洲多國政府與企業急忙修補，網站經營者須查明版本與代管狀況。
廣泛使用的程式語言PHP出現兩項重大資安漏洞，修補程式雖已發布，駭客也已展開攻擊，促使亞洲和歐美政府、企業加緊修補，部分網站預防性暫停服務。台灣資安機構也已發布警告。這波事件不代表所有關站網站都已遭駭，但網站業者不能只等平常的自動更新。
一、最新進展：修補程式已發布 攻擊也已出現
PHP開發團隊周三發布緊急修補程式，呼籲用戶立即更新。全球資安機構也建議，無法及時修補的受影響網站，應先暫停服務。
亞馬遜說，10月17日、也就是漏洞公開前四天，就在誘捕駭客的「蜜罐」系統偵測到攻擊嘗試。周三公開前，又有不同攻擊者接連嘗試。亞馬遜尚不確定這些攻擊若針對真實網站，是否能夠得逞，但表示漏洞如今已遭廣泛利用。
專家擔心，修補程式公開後，駭客可藉AI分析漏洞，加快攻擊尚未更新的網站。
二、漏洞有多嚴重？不用帳號密碼，就可能控制伺服器
兩項漏洞在CVSS 4.0風險評分中均達9.2分，滿分為10分。歐盟資安應變小組CERT-EU說，駭客可能無須登入，就能透過網路在有漏洞的伺服器上執行程式。
網站代管業者GoDaddy說，後果可能包括資料遭竊、網頁遭竄改，甚至整套系統被入侵。
不過，網站是否受到影響，仍須確認使用的PHP版本、系統設定和防護措施，不能把使用PHP直接等同已遭駭。
三、PHP是什麼？為何牽動這麼多網站？
PHP是網站後端使用的程式語言。使用者開啟網頁時，伺服器透過PHP組合內容，再將完成的頁面傳給瀏覽器。它是免費、開放原始碼的軟體，由志工維護，網站經營者往往不會直接操作。
依W3Techs資料，在能辨識後端程式語言的網站中，約七成至四分之三使用PHP。這不等於所有網站的占比。
全球約四成網站採用的WordPress，主要以PHP編寫；Drupal、Joomla和Magento等平台也使用PHP，因此漏洞影響廣泛。
四、亞洲哪些服務暫停？台灣也示警
日本首相高市早苗周三晚間呼籲企業盡快修補，若難以及時更新，可考慮暫停網站或其他服務。
日本企業紛紛採取預防措施，全日空暫停網站和App服務，包括Apple Wallet登機證。野村、三菱日聯金融集團和部分地方銀行暫停非核心服務； 朝日集團暫停部分網站和系統，京阪控股關閉網站；世嘉和萬代南夢宮對部分網站進行緊急維護。
台灣、香港和新加坡資安機構也已發布警告和因應建議。澳洲部分政府網站在修補期間暫停服務；阿里雲和騰訊雲則要求客戶盡快更新PHP。
五、歐洲和全球平台受影響情況如何？
荷蘭國家資安中心本身也預防性關站，鹿特丹港、政府入口網站、足球協會、五大政黨及部分醫院網站跟進。
芬蘭政府公共網路服務預防性下線；法國內政部將旗下所有網站轉入預防性維護。丹麥也暫停部分服務，包括全國學校通訊平台。
維基百科營運單位暫停部分支援系統，網際網路檔案館也曾短暫下線處理問題。這些措施不代表相關網站已遭入侵。
六、WordPress自動更新就夠了嗎？
不一定。WordPress資安外掛業者Wordfence警告，一般自動更新不會完成這次PHP修補。網站經營者須確認由誰管理伺服器、是否使用受影響版本，以及代管業者是否已完成更新。
WordPress.com營運商Automattic表示，使用該公司網站代管服務的用戶，以及Tumblr用戶，都不受這次漏洞影響。至於自行架站，或由其他業者代管的WordPress網站，則須另行確認是否安全。
缺乏專職資安人員、又無法直接管理伺服器的小型網站，尤其需要向代管業者確認。
七、AI為何同時成為防守和攻擊工具？
美國資安業者Calif和Alphabet旗下Wiz，分別藉助AI發現漏洞，再和PHP團隊協調修補。Calif說，8月1日發現問題，8月11日通報；Wiz則在8月24日通報第二項漏洞。
這些問題潛藏逾十年，過去要證明並利用漏洞，須完成極複雜的步驟。AI讓研究人員更容易找出漏洞，也讓駭客更容易利用漏洞發動攻擊。
蒙納許大學學者Rashina Hoda另提醒，詐騙和網路釣魚攻擊可能隨之增加。
精華 FAQ
-
Q1：PHP這次爆出的漏洞有多嚴重，為何引發全球警戒？
兩項漏洞在CVSS 4.0都達9.2分，可能讓攻擊者無須帳密就遠端執行程式並控制伺服器。由於PHP廣泛用於WordPress等網站，影響範圍因此非常大。
-
Q2：為什麼有些網站會先暫停服務，而不是等自動更新？
因為修補程式已發布，但攻擊也已開始，若短時間內無法完成修補，關站可先降低被入侵風險。這不代表網站已遭駭，只是預防性措施。
-
Q3：WordPress網站使用者應該如何確認自己是否安全？
不能只靠一般自動更新，必須確認伺服器由誰管理、是否使用受影響的PHP版本，以及代管業者是否已完成更新。若是自行架站或其他業者代管，更要主動查證。
上一則
麵包恐害你加速顯老 營養師點名小心6款 焦香酥脆最易踩地雷
下一則
评论 (0)