PHP 兩大高危漏洞衝擊台灣政府：近 800 筆系統待處理，22 站先行關閉，RCE 風險如何擴散？

一週內，近 800 筆政府網站與系統進入修補名單

2026 年 10 月 29 日，數位發展部資通安全署公布 PHP 重大漏洞應變進度。截至 10 月 28 日下午 5 時，近 300 個政府機關有弱點需要處理，涉及近 800 筆網站或系統，其中 460 筆完成修補，另有 22 個網站或系統因老舊或更新困難而暫時關閉。這是風險盤點與應變數字，不等於 800 個系統已被入侵。依近 800 筆作粗略分母，完成修補比例約 58%，但官方未提供精確總數，不能視為精確完成率。

兩個漏洞為何值得警戒？

PHP 安全團隊於 10 月 21 日發布緊急更新，處理 CVE-2026-109618 與 CVE-2026-109619。依台灣資安署公布資訊，兩者 CVSS v4.0 均為 9.2 分，可能使未經驗證的外部攻擊者執行任意程式碼。這類風險稱為遠端程式碼執行（Remote Code Execution, RCE）。其關鍵不是網站畫面遭到修改，而是伺服器可能執行原本不應接受的指令。實際危害仍取決於漏洞觸發條件、部署配置、權限隔離及後續防護。本文不提供漏洞利用步驟。

PHP 為什麼影響範圍這麼大？

PHP 是在伺服器端執行的程式語言。使用者開啟頁面時，伺服器可能透過 PHP 查詢資料庫、處理表單、檢查登入狀態，再產生 HTML。WordPress、Drupal、Joomla 等內容管理系統也大量使用 PHP。因此即使網站管理者從未直接寫過 PHP，也可能在底層依賴它。這次風險應依 PHP 版本及實際部署條件盤點，不能把所有 PHP 網站都當成存在相同漏洞。

從網頁請求到伺服器權限：RCE 的危險在哪裡？

一般網頁請求應進入預先定義的應用邏輯，例如查詢公告或提交表單。若特定程式路徑有嚴重漏洞，攻擊者可能令伺服器執行超出預期的程式碼。接下來的損害可能包括資料讀取、惡意檔案植入、服務中斷，或以該主機作為橫向移動的起點。然而這些是 RCE 類型的可能後果，不是已證實在台灣政府機關發生的事件。伺服器權限最小化、容器隔離、網路分段、憑證保護與稽核日誌，都能影響事件的實際破壞範圍。

為什麼 22 個網站選擇暫時關閉？

老舊系統往往存在相依套件不相容、舊版框架無法升級、委外廠商交接困難、測試環境不足等問題。這些是一般工程上常見的修補障礙，不能直接認定是本次 22 個網站的個別原因。資安署表示，更新版本是首要方向，必要時可在前端部署網頁應用程式防火牆（WAF）降低風險；若仍無法有效防護，才建議暫時下架。WAF 是補償性控制，不能當作修補程式的永久替代品。

更新為什麼不是按下按鈕就好？

正式系統通常要先建立資產清單，辨識執行中的 PHP 版本及套件，確認原廠公告的受影響範圍，備份與建立回復點，再在測試環境驗證更新。完成部署後，還需進行功能測試、弱點複測及日誌檢查。若是涉及民眾申辦、身分認證或資料交換的政府系統，錯誤升級也可能造成公共服務中斷。這正是修補速度與服務可用性之間的工程取捨。

從一次漏洞，看見政府軟體供應鏈的長期問題

近 300 個機關的應變工作顯示，單一廣泛部署的基礎軟體，足以觸發跨機關協調。重要的制度能力不只是知道有 CVE，而是能迅速回答：哪些主機在使用受影響版本？誰負責維護？是否有外部曝露？更新後如何驗證？若連軟體資產盤點都不完整，修補期限就很難可信。軟體物料清單（SBOM）、集中弱點管理、持續資產探索與例行演練，都是值得投入的方向。

不要把不同資安事件混為一談

10 月 29 日另有公職候選人財產申報系統的個資揭露爭議。資安署初步認為涉及委外程式設計不當。現有報導沒有證據表明該事件由上述 PHP CVE 引起，兩件事不應被寫成同一條攻擊鏈。

結論：漏洞只是起點，修補能力才是長期考驗

這次事件真正揭露的不是 PHP 不該使用，而是廣泛依賴的開源基礎設施，需要同等成熟的盤點、更新、測試與緊急隔離機制。開源程式碼可以快速發布修補，但機關能否將修補安全地送到每一台實際運作的伺服器，才決定風險能否真正下降。

Tech English 技術名詞

• Remote Code Execution（遠端程式碼執行，RCE）：攻擊者經由網路讓目標系統執行非預期程式碼的漏洞類型。
• Common Vulnerabilities and Exposures（通用漏洞揭露，CVE）：為公開揭露的資安漏洞分配可追蹤識別編號的制度。
• CVSS（通用漏洞評分系統）：用於描述漏洞嚴重度的標準化評分框架。
• Web Application Firewall（網頁應用程式防火牆，WAF）：檢查與過濾 HTTP 流量，減少部分應用層攻擊風險。
• Patch Management（修補管理）：盤點、評估、測試、部署及驗證安全更新的作業流程。
• Software Bill of Materials（軟體物料清單，SBOM）：列出軟體元件與相依關係，以利弱點影響分析。