簡介: 用簡單例子說明PHP、瀏覽器開發工具、登入驗證與遠端執行的差別，以及修補和風險排序。
到了22:00網站會全部當掉嗎？
2026年10月21日14:00 UTC（台灣、香港時間22:00）不是全球網站爆炸的時間，而是PHP安全修補版原定的公開時間。修補程式已正式推出。 網站管理者現在要確認真正運作的PHP已更新，而不只是等公告。
WordPress後台密碼改得再複雜，也不能取代PHP本身的修補。一般訪客無法替網站更新伺服器，反而要提防假冒緊急驗證的釣魚訊息。
PHP究竟在做什麼？從網路商店看懂
PHP是執行在網站伺服器上的程式語言。顧客按下購買，系統可能用PHP核對登入狀態、查詢庫存與價格、記錄訂單，最後把結果送回瀏覽器。WordPress、企業網站和購物平台也常用PHP。實際付款可能由其他服務商處理。PHP比較像後台工作人員，不是畫面上的按鈕。
按F12可以看到PHP嗎？
瀏覽器開發工具看得到HTML（頁面結構）、CSS（外觀）、JavaScript（互動程式）。PHP先在伺服器執行，瀏覽器通常只收到結果。看得到餐點，不代表看得到廚房食譜。
用Chrome按F12，開啟Network，重新整理後選擇主要文件，再查看Headers。X-Powered-By: PHP/... 或結尾為 .php 的網址可能是線索，但都可能被隱藏。F12不能確認網站是否有這次漏洞。
| 技術 | 主要工作 |
|---|---|
| HTML / CSS | 頁面架構 / 外觀 |
| JavaScript | 瀏覽器互動，也能用於伺服器 |
| PHP | 伺服器端的登入、資料查詢、記錄 |
| Python / Java / Go | 也能處理網站後端的其他語言 |
| SQL | 查詢或修改資料庫的語言 |
| P2P | 裝置之間直接通訊的方式，不是程式語言 |
SQL常由PHP使用，並非更換PHP時可以直接替代的工具。
哪些是官方確認的事實？
截至2026年10月22日的PHP官方資料： 兩個漏洞的 CVSS v4.0 嚴重程度均為9.2/10；並非今晚有92%的機率遭駭。
| PHP系列 | 已修補版本 |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
CVE-2026-109618涉及記憶體耗盡時的錯誤處理，CVE-2026-109619涉及跨請求殘留的內部狀態。兩者在特定條件下皆可能讓未登入的攻擊者在伺服器執行程式碼。使用Apache mod_php時，已有網站應用程式尚未開始執行就被攻擊的實證；PHP-FPM等環境也須處理。
PHP專案已停止對8.1及更早版本的一般支援。部分作業系統或長期維護廠商會將修正移植到舊版；PHP團隊亦例外提供7.4、8.0、8.1的原始碼修補。應核對供應商公告，不要只看版本字串。PHP 8.2預計在2026年12月31日結束支援。
第一個問題的線索居然在2024年就被發現。PHP Foundation承認修補設計上的困難與資源不足造成延誤。證明漏洞能被利用，不等於每個網站都已經遭駭。基金會表示正式公開當下未確認流傳的示範程式具有實用攻擊能力，但日後風險仍需警戒。
跳過登入，與在伺服器執行指令，有什麼不同？
繞過登入是騙過身分驗證；遠端程式碼執行（RCE）是讓伺服器執行未授權的操作。PHP官方已確認，這兩個漏洞在特定條件下都能造成不需登入的RCE。
Apache mod_php的第一個漏洞已被證實可在網站程式啟動前觸發；PHP-FPM也存在依賴應用程式流程的風險。實際損失取決於PHP執行權限、資料庫與網路連線，不能據此認定所有網站都已外洩。
哪些情況最急？風險排序
| 系統狀態 | 優先處理 | 原因與行動 |
|---|---|---|
| 公開網站＋未修補＋大量個資 | 最高 | 外界可接觸、洩漏傷害大：優先修補，必要時限制公開，保留紀錄 |
| 公開網站＋未修補＋連到內部資料庫 | 最高 | 公開入口可能接上內部系統：減少資料庫權限並修補 |
| 公開網站＋未修補＋沒有重要個資 | 高 | 仍可能被竄改或當作攻擊跳板：盡快更新 |
| 僅內網＋未修補＋重要資料 | 高 | 受害內部電腦或VPN可能成為路徑：更新與檢查存取 |
| 僅內網＋未修補＋資料較少 | 中到高 | 可能延伸到其他系統：隔離與更新 |
| 已修補＋重要資料 | 持續調查 | 修補前的入侵仍須追查 |
| 確認沒有PHP | 沒有直接影響 | 另查附屬後台與供應商 |
公開程度、資料敏感度、PHP權限、內網連線和修補狀態會共同決定緊急程度。
如何知道自己的網站是否受影響？
依序確認：PHP在哪裡運行 → 實際供應網頁的PHP版本 → 官方列出的受影響版本 → 修補程式是否生效。
WordPress後台可到工具 → 網站健康狀態 → 資訊 → 伺服器查詢PHP版本。更新WordPress外掛不等於更新PHP。租用主機要確認供應商的公告；自架伺服器可用 php -v 查命令列版本，但網站可能運行不同版本，還要看PHP-FPM、容器與系統套件。只測試自己獲准管理的系統。
WordPress更新一下就結束了嗎？
修補版8.2.35 / 8.3.36 / 8.4.27 / 8.5.12已公開。 WordPress更新與伺服器PHP更新是兩回事。
WordPress主程式或外掛更新，與伺服器的PHP版本更新不同。 可在後台 工具 → 網站健康狀態 → 資訊 → 伺服器 查看PHP版本。使用虛擬主機應查詢供應商正式公告；自行管理則先整理PHP使用位置、備份、回復方式和負責人。
修補版本已推出，請確認適用版本、依指示升級，再測試登入、發文、表單等功能。在正式網站上隨意更改設定，比較像拿網站玩一場昂貴的運氣遊戲。
修補前、修補後，以及疑似受害時
修補版8.2.35 / 8.3.36 / 8.4.27 / 8.5.12已公開。 WordPress更新與伺服器PHP更新是兩回事。
先整理所有PHP主機、負責人與可以還原的資料備份。修補程式已推出，現在依官方或供應商指引更新正在使用的PHP，必要時重啟服務。確認網頁實際版本，並測試登入、發文、表單、訂單與整合功能。
如果無法立刻更新，可以縮小公開範圍、限制資料庫權限，搭配網站防火牆。單靠某項上傳設定不足以保證同時防住兩項問題；風險很大時應考慮暫停或隔離服務。
疑似遭到攻擊時，先保存紀錄與證據，再查異常帳號、被更動的檔案及可疑對外連線。修補能換掉壞鎖，卻不會自動拿回已被偷走的名單。 AI可能加快攻擊，但不代表所有網站已經失守。
網站根本沒有PHP呢？
完全不執行PHP的靜態網站，或只使用JavaScript、TypeScript的服務，不會直接受到PHP自身漏洞影響。但附屬管理系統、第三方服務與設備可能含有PHP。用了Cloudflare並不表示原始伺服器已完成修補。
先釐清：PHP在哪裡？誰負責更新？完成後如何驗證？
一般訪客怎麼辦？
訪客無法替網站修補伺服器。收到「立即重新驗證帳號」的郵件時，請自行開啟熟悉的官方網站或App，不要直接點來路不明的連結。
常見問題
改用Python就沒事了？ 全面重寫通常不是最快的方法，先套用正確的PHP修補。
一般人都要改密碼嗎？ 單憑公告不必全面更換；收到可信的實際外洩通知再循官方網站處理。
有Cloudflare就算修好了？ 防護和PHP本身的更新是兩回事。
9.2分代表92%會中招？ 不是，那是嚴重程度分數。
結論
當時的時間不是網路爆炸倒數，而是修理零件預定送達的時刻。如今零件已到，應核對實際PHP版本、確認修補生效並檢查功能及必要的安全紀錄。只更新WordPress卻放著PHP不管，就像招牌換新、門鎖依然壞掉。資訊更新至2026年10月22日01:26日本時間。
參考資料（12筆）
PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
PHP official support periods: https://www.php.net/supported-versions.php
PHP Security Advisory, 2026-10-21: https://www.php.net/archive/2026.php
PHP Foundation, background and disclosure, 2026-10-21: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
CVE-2026-109618 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
