netmagtwwp網路上多數網站都採用 PHP，而 PHP 剛公開兩個危險等級很高的漏洞。日本多家網路服務因此在 10 月 21 日深夜緊急停機維護。日本首相高市早苗也罕見地親自在社群媒體上呼籲，請網站業者當晚就完成更新。
兩個 9.2 分漏洞，不用登入就能控制伺服器
PHP 開發團隊在 10 月 21 日釋出修正版，修補 CVE-2026-109618 與 CVE-2026-109619 兩個漏洞。資安業界把它們合稱為「php2shell」。兩者的 CVSS v4.0 評分都是 9.2 分，屬於最高的「Critical（緊急）」等級。攻擊者不需要登入，就可能從外部在伺服器上執行任意程式碼。
修正版共有 PHP 8.5.12 、 8.4.27 、 8.3.36 與 8.2.35 四個版本。美國網路安全暨基礎設施安全局 (CISA) 呼籲各單位立即更新，優先處理對外開放的系統。如果沒辦法立即更新，或還在使用 PHP 8.1 以前已停止支援的版本，CISA 建議先讓系統離線，等修補完成再上線。
參考閱讀：PHP 兩項漏洞風險評分達 9.2 CISA 列入 KEV 要求立即修補
這次的問題出在 PHP 執行環境本身，不在任何一套應用程式裡。所以就算網站自己的程式碼沒有問題，一樣會受到影響。 PHP-FPM 、 Apache mod_php 、 php-cgi 、 FrankenPHP 、 LiteSpeed 等所有處理網頁請求的安裝方式都在範圍內。據 W3Techs 統計，PHP 大約用在 69.3% 的網站上。也有研究人員粗估，網路上可能有超過 130 萬台主機受影響。
這兩個漏洞由 Calif 、 Wiz 與 OpenAI 的研究人員發現。 Calif 與 Wiz 都表示，研究過程中使用了 AI 模型。至於是否已有人利用漏洞發動攻擊，各家說法不一。 watchTowr 表示，截至 10 月 21 日 11:26(UTC) 還沒看到實際利用。 Hadrian 則表示，已經觀察到大規模利用。 Patchstack 與 Cloudflare 也回報偵測到攻擊嘗試。
日本首相發文「大至急」，自己的官網也先關閉
日本反應特別快。修正版預定在日本時間 21 日晚上 11 點發布。發布前，IPA（資訊處理推進機構）、國家網路統括室與首相都呼籲業者先做好準備。高市早苗在 X 上寫道：「皆様に、今夜に対応して頂きたい大至急のお願いです」（有件非常緊急的事，請大家今晚就處理）。
22 日上午，高市早苗進首相官邸時主動問記者：「各社、ウェブサイト大丈夫でしたか」（各家媒體的網站還好嗎），接著表示：「うちは遮断しました」（我們這邊已經先關了）。目前她個人的官方網站已無法連線。
遊戲、主機商陸續緊急停機
日本產業也受到明顯影響。櫻花網路 (Sakura Internet)21 日先停用部分服務功能。 Cygames 、 pixiv 等公司也宣布緊急維護。《賽馬娘》與商務通訊平台 Chatwork 同樣停機處理，不少使用者當晚發現遊戲和網路服務突然無法使用。
主機商的做法大致分成兩種：一種是直接更新伺服器上的 PHP，另一種是先暫停部分服務。櫻花網路在 22 日早上 6 點 30 分完成租用主機的 PHP 更新，並建議仍在使用舊版的用戶改用 PHP 8.3 。
日本以外的國家也受到影響。荷蘭的資安主管機關為了預防，先讓自己的網站下線。澳洲的 cyber.gov.au 等政府網站也在受影響名單中。
WordPress：託管平台已防護，自架網站要靠主機更新
全球大約 43% 的網站使用 WordPress 架設，而 WordPress 正是以 PHP 開發。研究人員已證實，攻擊者不需登入就能在 WordPress 7.1.2 等多套常用軟體上執行程式碼。
WordPress.com 母公司 Automattic 在 21 日發布公告。公告表示，放在 WordPress.com 、 WordPress VIP 、 WP Cloud 、 Pressable 與 Tumblr 上的網站都已受到保護。 Automattic 也提醒，PHP 8.2 將在 2026 年 12 月 31 日停止支援，因此升級到 8.3 以上較為理想。 Wiz 也在致謝名單中提到 Automattic，感謝其協助準備防護指引與緩解措施。
自架 WordPress 的站長要注意：從 WordPress 後台更新 WordPress 或外掛，都不會更新底層的 PHP 。真正的修補要從伺服器套件、主機商或容器映像檔著手。用 Docker 執行 WordPress 的人，必須換上 PHP 修正版發布後重新建置的映像檔才算修補完成。 Sansec 也提醒，WordPress 內建的維護模式擋不住這次攻擊。原因是 PHP 在應用程式檢查請求之前就已經先解析請求。
站長可以在 WordPress 後台的「工具 → 網站狀態 → 資訊 → 伺服器」查看目前的 PHP 版本。使用租用主機者，也應直接向主機商確認是否已完成修補。
小結
這次事件讓大家看到，網站底層的語言環境一旦出問題，影響範圍遠比單一應用程式的漏洞大。從日本首相深夜發文，到遊戲、主機商連夜停機，再到 WordPress 生態系的處理，都提醒大家：只更新應用程式不夠，伺服器上的執行環境也要一起管理。