全球廣泛使用語言PHP驚傳重大資安缺陷，數發部呼籲速盤點更新。

圖片來源/AI示意

繼近期傳出有高達75萬筆LINE Pay台灣用戶個資在中國暗網遭到賤賣的重大資安疑雲後，國內網路世界再度面臨更底層的嚴重威脅。

數位發展部資通安全署發布緊急警訊，指出開源伺服器端腳本語言「PHP」，安全團隊已在台灣時間10月21日晚間10時發布緊急更新，修補了兩項危險評分高達9.2分的超級大漏洞。

這意味著駭客不需要 know 任何帳號密碼，就能直接從大老遠透過網路控制受害網站、從外部執行任意程式碼，形同在網站大門裝了一把「萬能鑰匙」。

兩大危險評分高達9.2分

資安署深入說明，這次被抓包的兩大高風險漏洞編號分別為CVE-2026-109618與CVE-2026-109619。

如果用國際通用的嚴重度評分標準（CVSS v4.0）滿分10分來看，這兩項漏洞居然拿到了高達9.2分的危險高分。

 
簡單來說，一般黑客要入侵網站，通常需要破解管理員密碼或利用複雜的跳板，但這次曝光的漏洞屬於最棘手的遠端攻擊。

只要網站底層的PHP版本沒有更新，外來攻擊者就能像是拿著遠端遙控器一樣，在完全沒有經歷身分驗證的情況下，直接對網站主機下達不法指令、執行任意程式碼。

不過資安署也強調，實際影響仍取決於伺服器設定與軟體版本，並不是所有使用PHP技術的網站都已經百分之百被入侵，各單位依公告儘速盤點修補即可。

台灣多數購物網站、WordPress全踩雷

為什麼這個漏洞會讓資安專家驚出一身冷汗？因為PHP技術幾乎是當今網際網路的骨肉，更是許多知名架站系統的核心基礎。

像是全球市佔率最高的內容管理系統WordPress、Drupal、Joomla，甚至是許多大型購物商城、電商平台最愛用的Magento，底層全都是靠PHP在跑。

 
資安署特別發出溫馨提醒，許多政府機關、學校或是中小企業在架設網站時，往往只注意到前台網頁介面，或是部分未明示使用PHP的軟體內部也以PHP運作，導致底層出現資安盲點。

如果這時候各單位只檢查主要網站，而漏掉了後台管理介面、網站外掛或是相關套件，就很容易留下資安死角，防線蕩然無存。

 
目前資安署在掌握情資後，已經第一時間透過資安警訊、「國家資安資訊分享與分析中心（N-ISAC）」以及台灣電腦網路危機處理暨協調中心（TWCERT/CC）等官方管道向全台發布緊急通報。

官方強烈呼籲並要求全台所有機關、學校及企業，應該立刻盤點並確認自家網站所有的PHP系統，依照原廠公告用最快速度完成安全更新。

更新後，管理人員也應仔細檢視系統日誌及異常存取紀錄，若發現有可疑活動，就必須進一步確認相關帳號與登入憑證的安全性，透過聯防機制全力將資安風險降到最低。

 
。