广泛应用于网站开发的程式语言PHP 今（21）日稍早爆出两项重大安全漏洞，严重程度均达CVSS v4.0 的9.2 分（满分10 分），可能让攻击者在未经验证的情况下远端执行伺服器的恶意程式码。
PHP 开发团队已于10 月21 日发布安全更新，呼吁使用者立即升级，漏洞曝光前后，欧洲、日本、美国等多国政府与民间机构网站采取预防性下线措施。
日本除了政府单位，与玩家密切相关的还有《赛马娘Pretty Derby》、《暗影诗章：凌越世界》、《超异域公主连结☆Re:Dive》等服务型游戏，任天堂（部分服务，特别是宝可梦）、SEGA、CAPCOM、万代南梦宫娱乐、Cygames、Bushiroad、好微笑GSC、寿屋（日本）等大厂官网均下线维修。
其他还有匿名论坛4chan、骇客论坛BreachForums 与Dread，以及创作者平台BOOTH 及DeviantArt、弹幕影音平台Niconico、互动式悬疑企划「第四境界」、跨平台萤幕录影与直播软体OBS Project 及动画串流平台Bandai Channel 等多个社群与官方网站宣布紧急维护。
PHP 安全团队于10 月20 日漏洞全面波及各大网站之前预告将在隔日发布紧急安全更新，修正两项严重漏洞：分别为CVE-2026-109618 与CVE-2026-109619，皆涉及可能导致远端程式码执行（RCE）的问题。
根据PHP 官方安全公告，其中一项与记忆体耗尽时的资料损毁有关，另一项则涉及已释放记忆体后仍残留的内部状态。攻击者可能借此在未经身分验证的情况下执行恶意程式码。
漏洞细节在官方预定公开前疑似提前外泄，网路上流传一段据称展示利用工具PHP2Shell 的视频，声称可以通过相关漏洞远端执行伺服器指令。资安公司WatchTowr 执行长Benjamin Harris 也向媒体证实，外泄资讯涉及的两项漏洞确实存在。
资安公司Sansec 警告，攻击者可能在修补程式发布后迅速展开大规模攻击，预期更新公开后15 分钟内就可能开始出现大量攻击。 Cloudflare 技术长Dane Knecht 亦表示，团队已观察到初期攻击活动，并持续调整防火墙规则以降低风险，但强调相关措施仅是暂时的防护手段，无法取代安装正式更新。
PHP 团队已发布修正版，包含PHP 8.5.12、8.4.27、8.3.36 及8.2.35，并强烈建议使用者立即更新，此外，PHP 8.1 及更旧版本已不再由PHP 专案直接提供更新，使用者须确认Linux 发行版或长期支援（LTS）供应商是否提供回补修正，必要时应升级至受支援版本。
欧美政府网站预防性下线，日本游戏及影音服务同步维护
根据路透社报导，漏洞引发欧洲多国网站营运单位紧急应对，荷兰、芬兰及法国均有政府或公共服务网站在修补程式发布前暂时下线以降低遭受攻击的风险。
荷兰国家网路安全中心、鹿特丹港、政府入口网站Overheid.nl、荷兰皇家足球协会KNVB，以及多个政党和医院网站，都受到这波预防性措施影响。芬兰则由国家IT 服务供应商Valtori 暂停部分政府公共网路服务；法国内政部也表示，已暂时关闭部分地方政府行政网站，等待安全修正。
PHP 漏洞之所以引发广泛关注与其普及程度有关，报导引用网路技术调查机构W3Techs 的统计，在能辨识伺服器端程式语言的网站中约有75% 使用PHP，全球约43% 的网站由WordPress 驱动。除了WordPress，Drupal、Joomla 及Magento 等平台都使用PHP，影响范围涵盖大量政府入口网站、新闻媒体、线上商店及企业网站。
资安专家指出，攻击者不必逐一锁定特定网站，只要扫描网路上使用脆弱PHP 版本的伺服器就可能大量寻找可利用的目标，搭配近来逐渐增加的AI 辅助攻击行动，漏洞扫描与利用的速度可能进一步加快。
对于采用共享主机、缺乏专职IT 人员的小型网站而言风险尤其明显，即使PHP 已经发布修正版，网站管理者仍可能需要等待主机供应商更新底层环境，无法自行立即完成修补。此外，WordPress 网站的自动更新机制不会自动替使用者更新伺服器上的PHP，站长必须确认由谁负责升级PHP 执行环境。
