全球網路基礎軟體出現致命漏洞　駭客已開始攻擊、網站預防性大量下線

由於廣泛使用的程式語言PHP爆發極度嚴重等級（Critical）的安全漏洞，歐洲及全球多個政府網站與服務於週三（21日）紛紛緊急離線，網站營運商正手忙腳亂地採取措施以保護系統。駭客也已經開始發起攻擊。

這個程式語言至少運作全球75%的網站，影響極為巨大。連日本首相高市早苗都在週三夜間緊急發出警告，呼籲有關連的網站馬上更新修復漏洞，或者緊急預防性下線。

高市早苗在社群平台X發文說：「這是一件需要大家在今夜就配合的極度緊急事件……請各單位確認公開網站是否使用了PHP……並做好盡可能快速套用更新的準備。

她寫說：「若評估後發現難以迅速套用修補更新程式，暫時停止網站服務運作也是降低風險的有效對策。」

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。

公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。

修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

— 高市早苗 (@takaichi_sanae) October 21, 2026

PHP程式語言的開發團隊在週二宣布，他們已發現兩個極度嚴重的安全漏洞，並呼籲使用者在修補程式發布後立即更新網站。團隊在台灣時間週三約晚間21時45分宣布，用於修補漏洞的新版本已正式上線。

然而，隨著駭客利用這些漏洞入侵網站的報告陸續傳出，包括荷蘭與芬蘭在內的多國政府機構，在修補程式正式發布前，已預先將網站下線避免遇駭。

日本知名的影音彈幕網站Niconico，插畫投稿與委託網站Pixiv以及DMM.com都在週三晚間緊急維修。而包括《碧藍幻想》與《賽馬娘 Pretty Derby》等眾多熱門網路遊戲也紛紛宣布暫停服務。

PHP支撐大部分網路網站的運作，這引發極大量網站可能面臨攻擊威脅的嚴重疑慮。

資安公司Huntress在部落格文章中指出：「PHP無所不在。它默默地為WordPress、Drupal、Joomla與Magento 網站、共享主機平台、控制面板以及大量甚至沒有標明底層運行PHP的軟體提供動力。」

網路與雲端安全公司Cloudflare技術奈克特（Dane Knecht）表示，攻擊已經出現，Cloudflare正更新其防火牆規則，暫先權宜阻擋。

他在X上寫道：「我們正觀察到早期攻擊的出現，並隨著新攻擊途徑的出現更新緩解措施。這僅是權宜之計。一旦PHP發布更新，請立即進行修補。」

專為WordPress網站提供防護的安全外掛Wordfence表示，所有WordPress網站均運行在安裝了PHP的伺服器上。該公司警告稱，自動更新不會套用此修補程式，並建議網站擁有者儘快確認誰來負責更新網站上的PHP版本。

歐洲、澳洲、日本與英國的資安機構已敦促PHP用戶立即更新，或將網站下線直到安裝修補程式為止。荷蘭國家網路安全中心（NCSC）自身網站亦已離線，該機構表示鑑於該漏洞，這是出於預防目的而採取的權宜之計。

官員表示，從PHP 5版本起的所有PHP版本都可能受到影響，不過PHP團隊當時尚未正式揭露具體哪些版本存在漏洞。

網站的基礎根基

PHP是用在運作網站的程式語言。當訪客載入網頁時，運行PHP的伺服器會組合內容並將其傳送到瀏覽器。這是由志工維護的免費開放原始碼軟體。

它也是網際網路上下載與使用最廣泛的軟體之一。根據網路技術追蹤機構W3Techs的數據，在可以識別程式語言的網站中，PHP驅動了約75%的網站。它也是WordPress背後的引擎，而WordPress支撐著全球約43%的網站，從部落格、小企業網頁到政府門戶網站、線上商店與新聞網站。

營運WordPress.com的Automattic公司表示：「我們不對安全問題的細節發表評論，但我們的團隊已做好準備，並一直與PHP安全團隊合作以確保順利更新。」

資安專家表示，由於有極多網站依賴相同的底層軟體，該漏洞可能會使數百萬台伺服器敞開大門。攻擊者無需單獨針對特定目標，而是可以直接在網際網路上掃描運作受影響版本PHP的系統。

倫敦國王學院客座高級研究員奧萊尼克（Lukasz Olejnik）指出，近幾週激增的AI輔助型駭客攻擊可能會進一步放大這項威脅。

奧萊尼克表示：「影響規模極其巨大。而且在AI的輔助下，攻擊與漏洞利用可能會在瞬間大規模發生。」

對於由技術資源有限的個人或組織營運的小型網站而言，風險尤為嚴峻。這些網站通常託管在共享主機服務上，客戶無法直接管理底層伺服器。資安專家表示，此類網站可能需要更長時間才能完成修補，並在修補程式發布後很長一段時間內依然處於暴露狀態。