「世界上最好的語言」出漏洞，荷蘭政府網站先下線

工程師常開玩笑說，PHP 是「世界上最好的語言」。PHP 是一種讓網站處理登入、表單、訂單等工作的程式語言。10 月 21 日，PHP 的兩個重大漏洞讓荷蘭一些網站先關了：荷蘭政府的線上服務 MijnOverheid、國會網站，以及部分媒體、教育網站一度進不去。荷蘭國家網路安全中心連自己的網站都暫時關閉。MijnOverheid 的營運單位說，下線是預防措施。

這就解釋了為什麼今天會有人在 Threads 這個社群平台上說「好多網站打不開」。至少荷蘭這幾個案例有新聞與官方說法可查；提供網站安全防護的 Wordfence 也在自己的服務狀態頁公告，為了部署防護措施，服務暫時無法使用。但不能認定每個網站都是因為這次漏洞才打不開。網站主動下線防範風險，也跟網站已被攻破是兩件事。

PHP 出問題，為什麼會影響網站？

想像餐廳的後場設備：訪客看到的是店面，後場出了問題，整間店都得留意。這次的漏洞在 PHP 本身，不是只有某個用 WordPress 這套架站工具做的網站，或網站使用的某個軟體出錯。

PHP 官方 10 月 21 日發布修正漏洞的安全更新，兩個漏洞的嚴重程度都評為 9.2 分（滿分 10 分）。官方確認，在特定條件下，沒有登入的人也可能從網路上讓網站背後的電腦執行程式。這可能危及網站背後的資料與服務，所以經營網站的人需要盡快確認是否已更新；至於個別網站是否真的遭入侵，還要看各站調查，不能從「網站進不去」直接推定。

已經有人攻擊了嗎？

有攻擊活動的通報，但要看通報說到哪一步。提供網站防護服務的 Cloudflare 說，它觀察到有人對客戶網站發出攻擊請求，而且攻擊者持續改變手法。研究網站漏洞的資安公司 Patchstack 一開始引述替客戶代管網站的合作業者，說有多起有人利用漏洞發動攻擊的事件；後續更新寫，它自己看到的是有人試探網站是否有漏洞，還沒有確實遭入侵的證據。荷蘭國家網路安全中心則說，截至當時尚未觀察到有人實際利用這些漏洞發動攻擊。這些是不同地方、不同來源各自看到的情況；不能把「有人發出攻擊請求」講成「所有下線網站都被攻破」，也不能把該中心的觀察當成全球都沒事。

如果你只是網站使用者，遇到服務打不開，先看它自己的公告。現在就可以檢查有沒有在多個網站共用密碼，改成每個網站用不同密碼；重要帳號也可以先開啟登入時需再確認一次身分的兩步驟驗證。若收到資料外洩通知，或發現帳號異常，就更換該帳號的密碼。現在還不能光靠「網站用了 PHP」判斷你的帳密是否外洩。

如果你經營網站，先請維護網站的人或代管網站的業者（主機商）查目前使用的 PHP 版本。若版本受影響，就依文末的 PHP 官方安全公告更新到修補版；主機由別人代管，也要向主機商確認更新進度。英國國家網路安全中心提醒，對外開放的服務應優先處理。

截至 10 月 21 日晚間，我查到的具名案例是網站預防性下線；Cloudflare 有攻擊請求紀錄，Patchstack 有人試探網站是否有漏洞的紀錄。我還沒找到能核對是哪個單位受害、又能確認入侵確實是這兩個漏洞造成的案例。

這不代表沒有發生；Threads 上提到的其他網站，仍要逐一對照各站公告。

---

PHP 官方 10 月 21 日安全公告（受影響範圍與修補版本）：https://www.php.net/archive/2026.php#2026-10-21-5
PHP 官方漏洞公告（漏洞編號 CVE-2026-109618）：https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
PHP 官方漏洞公告（漏洞編號 CVE-2026-109619）：https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
荷蘭 NOS 報導（各站預防性下線）：https://nos.nl/artikel/2636055-websites-van-overheid-en-in-onderwijs-offline-vanwege-lek-risico-op-hacks
荷蘭政府公告（資安中心預防性下線與當地觀察）：https://www.rijksoverheid.nl/actueel/nieuws/2026/10/21/ncsc-ernstige-kwetsbaarheden-in-php
荷蘭 Logius 發言人說明 MijnOverheid 下線（ANP 通訊社報導）：https://www.welingelichtekringen.nl/samenleving/ook-mijnoverheid-offline-vanwege-php-kwetsbaarheden
Patchstack 整理（託管業者通報、攻擊探測與後續更新）：https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/
Wordfence 服務狀態（部署防護期間暫時無法使用）：https://status.wordfence.com/incident/1097157?mp=true
Cloudflare 官方說明（觀察到針對客戶的攻擊流量）：https://blog.cloudflare.com/php-vulnerabilities-waf-protection/
英國國家網路安全中心提醒（盤點 PHP 服務）：https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php