EP440 - PHP 大漏洞讓各國網站先關站：AI 做了什麼？你的網站該怎麼辦

PHP 官方安全公告：https://www.php.net/archive/2026.php#2026-10-21-1 10 月 21 日，各國有不少政府單位、公司，先把自己的網站關掉。原因是 PHP（W3Techs 統計：看得出後端語言的網站裡，69.3% 用它）要發布兩個重大漏洞 php2shell 的修補：不用登入，就可能在伺服器上執行程式碼。這一集講三件事：那一天發生什麼事、AI 在這件事裡真正做了什麼、你的網站有沒有事、現在該做什麼。 先講結論：先關站的大多是預防，不是被駭。AI 也不是找到一個沒人知道的問題，第一個漏洞的病根 PHP 在 2024 年就看到了；這次是三組用 AI 的人在兩週內各自回報，找洞變快了，修洞還是同一群人。 ✅ 你現在可以做的事 ・查 PHP 版本：WordPress 後台「工具 → 網站狀態 → 網站狀態資訊 → 伺服器」，或主機後台（cPanel：MultiPHP Manager） ・至少要到 8.5.12／8.4.27／8.3.36／8.2.35；8.1 以下官方不再更新，先備份再升到 8.4 或 8.5 ・更新 WordPress、外掛修不到這個漏洞，要更新的是 PHP 本身，更新完重新啟動 ・租主機：直接問主機商 PHP 是哪一版、修了沒；修不了就先下線 ⏱ 章節 00:00 各國網站先關站 00:54 10/21 那一天發生什麼事 03:19 先關站的，大多沒有被駭 03:57 AI 在這件事裡做了什麼 06:05 找洞變快了，修洞還是同一群人 06:59 我的網站有沒有事：查 PHP 版本 08:36 租主機、自己管主機、修不了怎麼辦 10:50 整理：現在就能照做的七件事 📰 一手來源 ・PHP｜安全更新公告：https://www.php.net/archive/2026.php#2026-10-21-1 ・PHP 基金會｜Today's PHP security release：https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ ・GitHub Advisory｜CVE-2026-109618：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w ・GitHub Advisory｜CVE-2026-109619：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp ・Calif｜php2shell：https://calif.io/php2shell/ ・Wiz Research｜php2shell：https://www.wiz.io/blog/php2shell-php-rce ・OpenAI｜Coordinated disclosure：https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/ ・php2shell.com：https://www.php2shell.com/ ・CISA 警示：https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching ・荷蘭 NCSC：https://www.ncsc.nl/alerts/kwetsbaarheden-php-patches-beschikbaar-update-nu ・歐盟聯合聲明（ENISA 等）：https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities ・Cloudflare：https://blog.cloudflare.com/php-vulnerabilities-waf-protection/ ・資安署新聞稿：https://moda.gov.tw/ACS/press/news/press/21134 ・TWCERT/CC：https://www.twcert.org.tw/tw/cp-169-11303-1d68a-1.html ・W3Techs｜PHP：https://w3techs.com/technologies/details/pl-php ・Unit 42：https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/ ・路透社（CNBC 轉載）：https://www.cnbc.com/2026/10/21/government-websites-go-dark-as-software-flaw-sparks-security-scramble.html 🧵 參考影片 ・BBC News｜Websites taken down worldwide as AI reveals critical cyber-security threat：https://youtu.be/moy3waNDQa8 ・Wes Roth｜they’re shutting it DOWN：https://youtu.be/ehcBwqyUGjo ・SomeOrdinaryGamers｜This New PHP Hack Nearly Shut The Internet Down...：https://youtu.be/36uh0Cs-Yvc ・Nick Saraev｜70% Of Internet Hacked By AI：https://youtu.be/wtTd8PJPMVg 片中事實以各單位官方公告為準（2026 年 10 月 22 日查核）。這一集只講漏洞的概念，不提供任何攻擊方法。PHP logo：php.net，CC BY-SA 4.0。 你的網站跑的是哪一版 PHP？留言告訴我。 歡迎請我喝杯咖啡，幫助我繼續把節目做得更好唷～！ 👉 https://buymeacoffee.com/ailanrenbao