PHP重大漏洞，連日本首相也出面呼籲。發生了什麼事，以及接下來的準備

大家好，我是TIMEWELL的濱本隆太。

2026年10月21日晚上，針對PHP的2個重大漏洞，據報導日本國家網路安全統括室與首相高市早苗，分別在X上呼籲各界因應。首相的貼文，據說是以「十萬火急的請求」這句話開頭。¹² 依媒體報導，這是在原本預告的修補版釋出時間之前。政府在修補版出來之前，就請大家先做準備，這是我不太常見到的情形。

本文先把「發生了什麼事」整理出來，並把PHP開發團隊自己確認的事實，與媒體報導的日本政府動向分開。接著，以「這樣的事往後還會再發生」為前提，寫出企業平時就該備好的運作方式。我們自己針對Node.js確認並因應的內容，也在事實範圍內寫出。數字與日期，皆為2026年10月22日早上以前我能確認到的資料。

發生了什麼事：依時間順序

日期	事件	出處
10月20日	PHP資安團隊事先公告，將於10月21日14:00 UTC（日本時間同日23點）釋出2個重大漏洞的修補版。並保留權利：若細節外流、或發現攻擊跡象，將提前釋出	3
10月21日	修補版8.5.12、8.4.27、8.3.36、8.2.35釋出。可能讓攻擊者在未經驗證下遠端執行程式碼，強烈建議立即更新	345
10月21日晚上	依報導，首相高市於晚間10點左右在X上發文；日本國家網路安全統括室也在官方帳號上，呼籲盡速套用更新	126
同一晚起	依報導，遊戲、插畫投稿、金融機構、鐵路、租用伺服器業者等，進行了預防性的緊急維護	7

首相的貼文，我本人沒有直接看過。依日本電視台與每日新聞的報導，她請大家做好準備，以便盡速套用修補；並表示若難以套用，暫時停止網站也是有效的做法之一。¹² 日本國家網路安全統括室的貼文，據報導也是相同的意旨。⁶ 也就是說，這是透過媒體確認，而不是來自貼文原文，這一點請留意。

漏洞的內容

依PHP開發團隊的公告，修補的共有2個。兩者在CVSS v4.0上都是9.2分，屬於最嚴重的Critical等級。³⁴⁵

第1個是CVE-2026-109618。這和記憶體不足時的處理有關。PHP在處理請求的途中被中斷，內部資料就可能只有一部分完成初始化，之後的收尾處理，會把這份不正確的資料當成有效的來用。⁴ 第2個是CVE-2026-109619，請求用過的記憶體被釋放後，內部狀態卻仍然殘留。同一個工作程序處理下一個請求時，就可能用到那個過期的狀態。⁵

兩者都可能讓攻擊者在未經驗證下，取得網頁工作程序的權限。開發團隊表示，Apache的mod_php、PHP-FPM、php-cgi、FrankenPHP、LiteSpeed等，所有處理網頁請求的PHP環境都是對象。其中mod_php風險最高，已經證實有攻擊程式，能在應用程式的程式碼執行之前，以未經驗證的請求達成攻擊。³

這裡重要的是，開發團隊自己就明說「沒有完整的緩解措施，更新是唯一安全的選擇」。³ 取消記憶體上限、停用工作階段上傳進度功能等暫時性的做法，只能減少特定攻擊路徑的曝險，並不會讓系統變得安全。³⁵ 公開前，曾有「只要改一項設定就能防住」的看法，但據報導，後續調查發現光靠那樣並不能當作對策。⁸

更新的對象也要留意。釋出修補版的，是8.2系列到8.5系列。8.1以前的版本，開發團隊已不再提供更新。針對7.4、8.0、8.1，雖然為了自行從原始碼建置的人，公開了最小限度的修補，但基本做法，是向發行版或維護廠商確認它們提供的修補，或改用仍在支援期內的版本。³ 另外，8.2系列也會在2026年12月31日結束支援。³ 這次更新完成後，版本遷移的規劃還是需要另外進行。

為什麼連國家都出面了

接下來是我個人的看法。

第一個原因，是PHP的普及程度。依調查公司W3Techs的數字，在伺服器端語言可判明的網站中，有69.3%使用PHP。⁹ 日本的報導寫成「網站的七成」。從公司官網、網購、預約、地方政府的服務窗口，到小型業者的WordPress，它出現在意想不到的地方。

第二個原因，是攻擊有可能在未經驗證下成立。沒有登入這道牆能保護你。

第三個原因，是預告到釋出之間的時間差。這次，在修補版公開之前，就先公告了有2個重大漏洞，以及釋出的時間。既然有時間準備，就在這段時間內先備好。我認為政府的呼籲，是為了利用這段時間。

這裡有一點不要混淆。政府出面呼籲，並不代表已確認有災情。就我能查到的範圍，截至2026年10月22日早上，沒有官方確認遭到攻擊利用的資訊。不過，據報導：公開前識別碼就已流傳，聲稱能利用漏洞的程式碼也在流傳，還有資安公司的高層提到出現了早期攻擊的跡象。流傳中的程式碼未經驗證，也有人提醒其中可能夾帶惡意程式。⁹ 不論是否已有災情，防守的一方只能以「攻擊會來」為前提行動。

往後還會再發生

我認為這樣的事不會是最後一次。理由寫在日本政府的文件中。

日本國家網路安全統括室等單位，在2026年5月18日，向重要基礎設施業者等發出了呼籲。其中提到，高性能AI的運用，可預見會讓漏洞的發現與修補加速。另一方面也指出，若被攻擊者濫用，「從發現漏洞到被攻擊利用的時間會變得極短，同時需要因應大量的漏洞」。¹⁰ 因此要求各單位重新檢視已知卻尚未處理的漏洞風險，徹底做好資產管理，積極蒐集漏洞資訊，依風險排定優先順序並盡速因應。此外也建議，事先建立相關的流程與體制。¹⁰

這份呼籲的對象是重要基礎設施業者等，但我認為其想法適用於所有公司。當漏洞變多、遭攻擊利用的時間縮短，「事情發生了才慌張」的做法，就撐不住了。

事實上，同樣是2026年10月21日，Node.js也釋出了修補。依官方公告，安全性更新版本為：26.x系列v26.12.1、24.x系列v24.22.1、22.x系列v22.23.4，共修補10個漏洞，嚴重度為High 4個、Medium 3個、Low 3個。High之中，包含Brotli解碼器的越界寫入而可能導致遠端執行程式碼，以及可繞過TLS憑證主機名稱驗證的漏洞。¹¹ 它沒有像PHP那樣被大幅報導。但對使用的人來說，這同樣是「該更新的一天」。

我們確認了什麼

我們的網站是以Next.js（在Node.js上運作的框架）建置。針對PHP與Node.js，我在事實範圍內寫出確認的內容。

關於PHP。 我確認了網站的程式庫（原始碼的存放處）。沒有找到PHP的程式碼、PHP的相依管理設定，也沒有建立PHP執行環境的設定。就我能確認的範圍，沒有會受影響的架構。不過這只是程式庫內的情況。外部服務、委外廠商、租用伺服器那一側，光看程式庫是無法判斷的。那部分我們另外列為需要由人確認的項目。

關於Node.js。 2026年10月21日的安全性更新釋出後，我們確認了網站所運作環境（Vercel）的Node.js版本。從建置紀錄確認，是以24.x系列的修補版v24.22.1在運作。同時，我們也調整了設定，讓每次建置紀錄的開頭都會顯示Node.js的版本。下次發生同樣的事時，只要打開紀錄，就能立刻知道是以哪個版本在運作。

我並不是想說「我們沒問題」。不論有沒有受影響，修補版一釋出，就能在幾分鐘內確認自家環境用的是哪個版本。我認為，是否能不慌張，就取決於這樣的小機制。

今晚到本週要做的事

寫給公司裡負責PHP的人，依順序如下。

1. 盤點使用中的PHP。 自家網站、WordPress、網購系統、委外開發的系統、租用伺服器，連外部服務的內部也要包含。就算認為「我們沒用PHP」，委外廠商或關係企業也可能在用。
2. 確認版本。 修補版為8.5.12、8.4.27、8.3.36、8.2.35。比這些舊的，就需要更新。³
3. 更新，或向提供者確認。 自家的伺服器，就更新到修補版，並重新啟動工作程序。租用伺服器或Linux套件，請確認業者或發行版提供的更新套件。8.1以前的版本，請向提供者確認是否有backport（把修補移植到舊版本）。³
4. 無法馬上更新時，同時考慮暫時性對策與停止服務。 開發團隊列出的暫時性對策，像是記憶體上限的設定、停用上傳進度功能等，都不完整。³ 如同日本政府的呼籲，暫時停止網站，也應納入選項。¹
5. 更新後確認運作。 若有更改設定，請重新啟動工作程序，並確認設定如預期生效。官方的安全公告提醒，紀錄中沒有相關記載，並不代表安全。⁵
6. 通知相關人員。 儘早決定是否需要通知經營層、委外廠商與客戶。

平時就要建立的機制

接下來才是重點。我把下次之前該先決定好的事，縮減為四項。

第一是清冊。 運作什麼軟體、什麼版本、在哪裡，以及支援期限到何時。沒有一份清單，第一件事就是花時間查「我們是不是受影響的對象」。日本政府的呼籲要求徹底做好資產管理，原因就在這裡。¹⁰

第二是資訊來源與負責人。 PHP就看官方公告，Node.js就看官方的安全性資訊。依你使用的每一項，決定由誰來看。像這次這樣預告先出的情況，有沒有人看到預告，會改變能準備的時間。

第三是判斷標準。 要盡速更新、停止網站，還是先觀望？以嚴重度、是否需要驗證、公開範圍、對事業的影響為依據，事先決定由誰來判斷。日本政府的呼籲也指出，迅速的風險評估與因應，可能包含業務持續性在內的整體判斷，因此建議事先建立流程與體制。¹⁰

第四是聯絡網。 需要停止服務時，要通知誰、依什麼順序通知？半夜或假日能不能行動？這次的修補版，依預告是在日本時間晚上11點釋出。

這四項之中，我認為最有效的是清冊。其他三項，有了清冊才會開始運轉。

總結

針對PHP的2個重大漏洞，開發團隊明說更新是唯一安全的選擇，而日本國家網路安全統括室與首相，據報導在修補版釋出前就呼籲各界做準備。這是與確認災情不同的預防性行動。而且如日本政府文件所示，從發現到遭攻擊利用的時間在縮短，需要因應的件數預計也會增加。

等這次PHP的事情告一段落後，請務必挪出時間，建立自己公司的清冊。不需要完美。先從寫出自家運作中的10個軟體開始就夠了。若想討論公司內部的檢查，或更新判斷標準的制定，歡迎透過WARP SECURITY的個別諮詢與我們聯絡。我寫過電力基礎設施設備管理的文章，想法相近，也歡迎一併閱讀。有新的資訊時，我會更新這篇文章。

參考資料

Footnotes

1. 【專家解說】企業與地方政府網站陸續「緊急維護」，高市首相出面呼籲（日文）— 日本電視台新聞 NNN — 2026年10月21日 ↩ ↩² ↩³ ↩⁴

2. 高市首相「十萬火急的請求」，針對程式語言PHP的漏洞（日文）— 每日新聞 — 2026年10月21日 ↩ ↩² ↩³

3. PHP官方「2026年10月20日、21日安全性更新公告」（英文）— The PHP Group — 2026年10月20日、21日 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹

4. GHSA-w8hw-w9fx-j79w（CVE-2026-109618）RCE via OOM corruption（英文）— PHP官方安全公告 — 2026年10月21日 ↩ ↩² ↩³

5. GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）RCE via stale global state（英文）— PHP官方安全公告 — 2026年10月21日 ↩ ↩² ↩³ ↩⁴ ↩⁵

6. 修補「PHP」重大漏洞的更新程式公開，國家網路安全統括室呼籲盡速套用（日文）— Den Fami Nico Gamer（電玩媒體）— 2026年10月21日 ↩ ↩²

7. PHP「緊急」等級的漏洞，開發團隊公開修補版本，「請立即更新」（日文）— ITmedia NEWS — 2026年10月22日 ↩

8. 「PHP」出現2個「致命」漏洞，日本時間21日深夜將釋出緊急安全性更新（15點20分補充）（日文）— Mado no Mori（科技媒體）— 2026年10月21日 ↩

9. php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ（英文）— Tenable — 2026年10月21日 ↩ ↩²

10. 有鑑於AI性能高度化，強化網路安全對策（對重要基礎設施業者等的呼籲）（日文）— 日本內閣官房 國家網路安全統括室等 — 2026年5月18日 ↩ ↩² ↩³ ↩⁴

11. Node.js Security Releases, October 2026（英文）— Node.js — 2026年10月21日 ↩