阿波羅網王篤若報導/全球網站拉警報！PHP爆兩大致命漏洞 黑客不用登錄就能遠程接管伺服器
全球上千萬網站賴以運轉的PHP程序語言，出大事了。
PHP官方10月21日發布安全公告，緊急推出PHP 8.5.12、8.4.27、8.3.36和8.2.35四個版本，修補兩個「嚴重」級別的遠程代碼執行漏洞（CVE-2026-109618、CVE-2026-109619），嚴重程度評分高達9.2分（滿分10分）。官方的說法很直接：所有PHP用戶「強烈建議立即更新」，而且「沒有完整的緩解辦法，更新是唯一安全的選擇」。
不用密碼，請求一到就中招
這兩個漏洞可怕在哪？攻擊者不需要任何賬號密碼，只要往伺服器發一個請求，就可能在上面執行惡意代碼，接下來篡改網頁、偷數據，想幹什麼都行。
受威脅的範圍幾乎覆蓋所有對外提供網頁服務的PHP環境，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP和LiteSpeed。官方點名風險最高的是mod_php，已有演示攻擊證明，惡意請求在網站程序還沒開始跑之前，就能把攻擊觸發。
有安全研究人員估計，全球可能有超過130萬台聯網主機受影響。部分網路安全機構甚至建議，網站如果沒法馬上打補丁，乾脆先停機，免得被黑。
老版本沒人管了
更麻煩的是一大批還在跑舊版本的網站。官方明確表示，PHP 8.1及更早版本已不再獲得官方更新。考慮到漏洞太嚴重，PHP安全團隊破例為7.4、8.0、8.1提供了最基本的源碼補丁，給自行編譯或找不到長期支持廠商的用戶救急；其他人只能找Linux發行版或長期支持廠商要補丁，或者乾脆升級。
WordPress站長別以為自動更新就沒事
WordPress網站安全插件供應商Wordfence也發出警告：WordPress全部跑在PHP上，而WordPress去年說過，全球超過40%的網站是用它搭的，這次波及的網站數量可想而知。Wordfence提醒，這個補丁靠WordPress自己的自動更新是裝不上的，站長必須確認主機商有沒有更新PHP，或者自己動手。
普通人會受影響嗎？
會，但多半是間接的。最常見的情況是常用的網站突然登不上、買不了東西，因為網站臨時關站搶修。如果黑客攻進了沒打補丁的網站，會員個資可能外泄，網頁也可能被塞進惡意鏈接或詐騙內容。
這次漏洞主要打的是網站伺服器，普通用戶守住基本習慣就好：不點可疑鏈接；網站一旦行為異常，別輸入賬號密碼和信用卡；收到個資外泄通知，趕緊改密碼。
原文鏈接：出大事了！全球上千萬網站拉警報 一動作保護自己(圖)，來源：阿波羅網王篤若報導