PHP 爆兩項 9.2 分嚴重漏洞　歐洲多國政府網站預防性下線

【藍莓日報綜合報道】路透社報道，廣泛應用於全球約七成網站後端的程式語言 PHP，於 10 月 21 日揭露兩項嚴重保安漏洞，可容許未經身分驗證的攻擊者遠端執行程式碼。事件觸發全球資安警戒，歐洲多國政府網站預防性下線，PHP 開發團隊其後發布緊急修補版本，呼籲用戶立即升級。

兩項漏洞編號為 CVE-2026-109618 及 CVE-2026-109619，CVSS v4.0 嚴重性評級同為 9.2 分，滿分 10 分。漏洞源於記憶體處理及內部狀態管理缺陷，攻擊者毋須登入，便可在網站應用程式碼執行前觸發攻擊。PHP 官方指出，所有處理網頁請求的 PHP 安裝均需要評估風險，當中 Apache 搭配「mod_php」的配置風險最高。

PHP 開發團隊原計劃於格林尼治標準時間周三 14:00 發布修補程式，最終推出 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35 多個版本修復漏洞，並強烈建議所有用戶完成更新。歐盟電腦緊急應變小組（CERT-EU）指出，該級別漏洞代表存在未經身份驗證的遠端程式碼執行風險。

網絡安全公司 Huntress 在博客文章提到，PHP 支援 WordPress、Drupal、Joomla 及 Magento 等大量網站、共享主機平台與控制面板。WordPress 支撐全球約 43% 網站，涵蓋個人博客、商業網站以至政府入口。

為防範黑客入侵，歐洲多國政府、醫院及教育機構預防性關閉部分網上服務。荷蘭受影響平台包括電子身分認證服務 DigiD、政府個人服務平台 MijnOverheid 及Overheid.nl，荷蘭國家網絡安全中心自身網站亦暫停開放。荷蘭政府公告表示，當時未發現漏洞遭主動利用，惟建議網站負責人評估風險，必要時暫時下線。

法國、德國、比利時及芬蘭亦暫停部分政府公共網絡服務；鹿特丹港亦採取斷網自保措施。英國國家網絡安全中心呼籲機構盡快更新 PHP 系統，無法即時修補則應暫時下線。CERT-EU 同樣要求立即修補，未能及時處理者須隔離對外應用程式，官方強調臨時緩解措施不能完全抵禦攻擊，完整更新才是根治方法。

亞太多國資安部門同步發出警報。新加坡網路安全局警告 PHP 所有版本均受影響，當地資安公司 WatchTowr 的誘捕伺服器，已記錄針對漏洞的攻擊嘗試。澳洲網路安全中心（ACSC）發布最高級別關鍵警報，敦促組織清查所有 PHP 執行實例。

日本資訊處理推進機構（IPA）提醒，PHP 不只部署於網站，亦可能內嵌在軟件及網絡設備，機構需要盤點相關系統；部分網站仍使用已停止支援的舊版 PHP，漏洞公開後或會迅速遭受攻擊。日本部分託兒中心系統與線上遊戲服務，亦實施預防措施。德國聯邦資訊安全辦公室、斯洛伐克 SK-CERT 亦發布相關警報。

美國白宮表示，聯邦機構正評估該 PHP 保安漏洞對政府系統及關鍵基礎設施的潛在影響，並要求 AI 企業加強偵測能力。路透社引述 Cloudflare 消息，市場已觀察到針對漏洞的早期攻擊行動。

今次漏洞由研究人員借助人工智能協助發現，事件亦引發外界討論 AI 技術既可加速漏洞挖掘，亦可能協助黑客快速製作攻擊工具。美國的網路論壇 Something Awful、維基媒體基金會旗下維基百科部分支援服務，亦預防性下線。