重點整理
- 【修補後】PHP 10月21日晚間10時釋出修補，資安署3小時內發布警訊與新聞稿
- 【修補前】漏洞10月20日外流到修補釋出之間，本刊未查到台灣官方公開預警
- 【立場】先修補、再加防火牆，兩者都無效才建議下架網站
PHP 重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）衝擊全球，各國政府應變速度成為焦點。從公開資訊整理的時間軸來看，台灣政府在 PHP 官方釋出修補後反應迅速，但在漏洞外流到修補釋出之間的空窗期，相較日本、歐洲國家，台灣並未見到公開預警。
PHP 官方在台灣時間10月21日晚間10時釋出修補。數發部表示，資安署收到修補後啟動應變機制，3小時內就發布警訊與新聞稿，透過資安警訊、國家資安資訊分享與分析中心（N-ISAC）及 TWCERT/CC 通知各機關與企業。行政院發言人李慧芝22日表示，全球約七成網站使用 PHP，「影響層面非常大」，數發部已成立專案小組，並提高政府機關警戒層級。金管會也在22日一早透過金融資安資訊分享與分析中心（F-ISAC）向金融業發布緊急情資，並掃描所有金融機構的對外系統，個別通知仍有曝險的業者。
不過，漏洞編號早在10月20日就已外流，PHP 官方同日預告將提前釋出修補。在修補釋出前的這段期間，日本資訊處理推進機構（IPA）在10月21日發布「事前準備」通知，請企業先盤點 PHP 並準備套用更新；日本首相高市早苗在台灣時間21日晚間約8時55分於 X 發文，請企業「今晚」處理，必要時可考慮暫停網站；芬蘭、荷蘭則在修補前就預防性將政府網站下線。本刊查閱資安署新聞稿與媒體報導，未查到台灣官方在修補釋出前發布公開預警。
在處置立場上，台灣也比歐洲保守。資安署署長蔡福隆表示，首要做法是更新 PHP 版本，無法更新時可在前端設置網頁應用程式防火牆，「前揭兩種方式都無法紓解漏洞，才會建議政府機關、企業等暫時下架網頁」。英國、美國、歐盟資安機關則建議，無法立即修補就考慮先將系統下線。
影響範圍方面，數發部表示台灣約有2.8萬個對外網站、200個政府網站使用 PHP，但蔡福隆指出，並非每個版本都有漏洞，實際受影響數量會較少。資安署表示將持續追蹤政府機關、企業與教育單位的修補進度，但截至目前尚未公布修補完成比例，金管會也未公布曝險的金融機構家數。外界後續可觀察的重點，包括政府網站的實際修補進度，以及是否需要建立漏洞外流期間的預警機制。
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
- 數位發展部資通安全署新聞稿
- 經濟日報：PHP資安漏洞引爆全球關站潮 數發部三招應變
- Yahoo股市：PHP爆安全漏洞 資安署：修補無效才建議下架網頁
- 經濟日報：金管會掃描金融機構啟動3因應措施
- IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。