PHP重大漏洞波及台灣近800個政府系統　22站先關閉，哪些網站還在修補

台灣政府網站再度面臨基礎軟體風險。PHP官方10月21日公布CVE-2026-109618與CVE-2026-109619兩個重大漏洞，可能讓未經身分驗證的攻擊者遠端執行程式碼。數位發展部資通安全署29日表示，近300個政府機關、約800筆網站或系統受到影響，截至28日完成修補460筆，另有22個老舊網站因無法快速更新而先行關閉。

PHP是大量網站後端使用的程式語言，漏洞不只影響網頁外觀，而可能讓攻擊者在伺服器上執行指令、竄改內容、取得資料或把系統當成攻擊其他單位的跳板。PHP官方已明確表示沒有完整的替代緩解措施，更新才是安全選擇；仍在使用舊版本的機關若只加一道防火牆或修改設定，不能視為修補完成。

資安署每天要求機關回報進度，已修補460筆代表仍有相當數量處於測試、更新或暫時隔離階段。網站關閉會造成民眾查詢不便，但比明知系統可能遭遠端控制仍持續上線更合理。主管機關應公開受影響服務類型、替代申辦管道與預計恢復日期，不必揭露足以協助攻擊的技術細節，也不能只用「維護中」三個字把民眾晾在門外。

這次事件暴露的不是單一程式員疏忽，而是政府資訊系統長期委外、版本分散與預算只重建置不重維護的結構問題。老舊網站常與身分驗證、資料庫或內部網路綁在一起，升級可能牽動整套系統；但正因如此，機關更應在採購契約中要求支援年限、元件清冊、安全更新時限與退場方案，不能等到漏洞公開後才臨時找廠商。

一般使用者目前無法從頁面外觀判斷後端是否安全。若政府網站暫停服務，應從機關主站或電話確認替代方式，不要點擊社群轉傳的「臨時申辦網址」。近期曾在政府站輸入身分證字號、聯絡資料或密碼者，也應留意異常通知；相同密碼若用於其他服務，應立即更換並啟用多因素驗證。

修補工作還需要驗證，而不是只把新版套件安裝上去。更新後應檢查應用程式相容性、日誌、網路連線與異常帳號，並追溯漏洞公布前後是否出現可疑操作。若只確認網站恢復顯示，卻不檢查入侵痕跡，可能把已被植入的後門一起帶回線上。第三方鑑識與跨機關共享攻擊指標能降低重複摸索。

政府也應把這次近800筆曝險資料轉成可衡量的治理指標，包括各機關從公告到盤點、隔離、修補與復原花多少時間，哪些系統仍使用即將終止支援的版本，以及委外廠商是否履行通報義務。公布統計不等於公布弱點位置，反而能讓預算與責任有依據，避免每次重大漏洞都只留下「已要求改善」。

地方政府與學術機構網站常把公開資訊、表單、舊資料庫與內部管理介面放在同一套主機，攻擊者一旦突破外部元件，影響可能跨越原先想像的服務邊界。各單位應確認網路分區與最低權限是否有效，備份能否離線還原，並在復站前更換高權限憑證。只修補PHP卻保留遭竊密碼，風險仍會延續。

22個網站先關閉不是資安失敗的全部，也不是事件結束。真正的風險在於還沒盤點到的系統、無法更新的舊程式與已被利用卻未被發現的伺服器。資安署若能持續更新修補比例、服務恢復與鑑識結果，機關則把軟體生命週期納入採購，這次危機才可能從臨時救火變成下一次漏洞來臨前的準備。