PHP 雙漏洞餘震：全球政府與企業 21 日緊急關站，NSA 警告「立即修補或斷網」

PHP 雙重 RCE 漏洞修補釋出後餘震擴大：10 月 21 日起全球政府機關與企業陸續關閉網站應變。美國 NSA 要求所有組織立即修補或切斷網路，FBI 與歐盟也相繼示警。資安公司 Wiz 評估：約七成網站使用 PHP，此漏洞是「PHP 史上最嚴重等級」。

PHP 雙重重大漏洞的衝擊波正在擴大。法新社（AFP）10 月 22 日報導，在兩個關鍵漏洞曝光後，世界各地的政府機關與企業於 21 日紛紛把網站下線應變。由於 PHP 是全球網站最底層的建構語言之一，這波漏洞的影響範圍橫跨線上商店、新聞網站到行政服務。

「PHP 史上最嚴重等級」

發現漏洞的資安公司之一 Wiz 估計，全球約七成網站使用 PHP，並給出極高的嚴重度評價：這次的漏洞不僅名列 PHP 歷來最嚴重之列，放眼整個軟體史也能排進前段班。美國國家安全局（NSA）直接要求各組織「立刻套用修補程式，或把受影響的系統從網路上隔離」；NSA 並在 X 上說明，這類漏洞「往往成為直通伺服器檔案系統或資料庫的通道」。

更棘手的是攻擊門檻：攻擊者不需要密碼，就能接管運行 PHP 的網頁伺服器。日本《北國新聞》也報導，問題公開後部分企業立即部分暫停服務，等套用修補後才恢復；美國聯邦調查局（FBI）警告機密資料與網路可能遭侵害，歐盟的網路安全部門則建議「若無法修補，就該考慮斷網」。

修補了，但風暴還沒過

PHP 開發團隊已在 21 日釋出修補版本，PHP 基金會在部落格疾呼「還在使用 PHP 就必須現在更新」。大型平台多半安然無恙——要不是以其他語言打造，就是營運團隊手腳夠快、第一時間完成修補。

真正的警訊藏在背景數字裡：在 AI 加速程式碼產出的推波助瀾下，軟體漏洞的揭露量正急遽攀升，2026 年全年發現的漏洞數，預估將達到去年（已是歷史新高）的約兩倍。當漏洞發現的速度翻倍，「修補跟不跟得上」將成為每個組織的日常考題——這次全球關站潮，只是預演。

資料來源：AFP（經 AFPBB News，2026-10-22）、北國新聞（2026-10-22）。