PHP、Node.js、Go重大漏洞：台灣2.8萬網站修補清單

台灣時間21日晚間，PHP安全團隊釋出緊急更新，修補CVE-2026-109618與CVE-2026-109619兩項漏洞，CVSS v4.0嚴重度都達9.2分。資通安全署隔日成立專案小組並通知機關與企業，因漏洞在特定條件下可能讓未經身分驗證的外部攻擊者執行任意程式，受影響的不是只有公開網站，也包括連到資料庫、會員後台與金流服務的伺服器。

資安署估計台灣約有2萬8000個對外網站使用PHP，政府機關約200個，但使用PHP不等於必然受到攻擊。風險仍取決於版本、伺服器配置、擴充套件與漏洞觸發條件。這個數字說明修補範圍很大，卻不能被解讀成2萬8000個網站已遭入侵；目前公開資訊也沒有證實大規模攻擊已發生。

同一波更新不只PHP。Node.js與Go也處理遠端程式執行、記憶體破壞與憑證信任問題，其中Brotli解碼器的邊界外寫入漏洞可能被惡意請求觸發。Go部分修補還牽涉重新編譯，單純在伺服器安裝新版工具鏈，若應用程式仍是舊版本編譯產物，風險不會自動消失。

企業最容易漏掉的是資產盤點。公開官網可能由資訊部門維護，活動頁、舊會員系統、委外後台與測試環境卻散落在不同廠商。攻擊者不需要先突破主站，只要找到一個多年未更新、仍能連到內網或共用帳號的子網域，就可能取得進一步移動的入口。盤點網域、版本、負責人與下線條件，比只寄一封「請更新」通知更重要。

修補也不能停在更新完成的畫面。管理者需要備份設定與資料、在測試環境確認相容性，再依風險排序部署；完成後應檢查網頁檔案是否被竄改、是否出現異常帳號、未知排程、可疑連線與大量錯誤紀錄。若漏洞已被利用，更新只能關上入口，不能移除攻擊者先前留下的後門。

資安業者提醒民眾提防假更新訊息，因重大漏洞新聞常被詐騙集團拿來製造急迫感。一般網站使用者不需要從陌生簡訊、廣告或郵件下載所謂PHP修補程式；PHP是伺服器端軟體，真正的更新由網站管理者或主機商執行。民眾收到要求輸入密碼、信用卡或安裝遠端控制軟體的「安全通知」，應直接關閉並回到服務官方網站查證。

金融、電商與第三方支付業者的壓力更高，因伺服器一旦遭控制，外洩的不只是網頁內容，還可能涉及交易與個資。金管會已要求金融機構掃描與盤點，委外服務也不能排除在責任之外。契約若只規定可用率、沒有漏洞通報、修補時限、日誌保存與事件責任，事故發生後很難迅速判斷影響範圍。

這次多個開源生態系同日更新，考驗的是組織能否把技術警報轉成可追蹤的修補清單。能立即更新的系統應儘速完成，短期無法更新的舊系統則需限制外部連線、加強監控或暫時下線。真正危險的不是公開承認正在修補，而是維持服務表面正常，卻連自己使用哪些版本都說不清楚。

大型組織還要避免所有系統在尖峰時段同時重啟。較穩妥的做法，是先處理直接暴露在網路、具有管理權限或接觸個資的主機，保留可回復的版本與資料備份，再分批擴大部署。修補完成後若沒有留下版本、時間、執行人與驗證結果，下一次稽核仍無法證明風險已經排除；委外廠商也應交付同樣紀錄，而不是只回覆「已處理」。