lihi 短網址創辦人貝克菜在臉書直言，這波駭客攻擊讓台灣一堆電商系統被打穿，自家 lihi 也被挖走 553 個 email。日本首相高市早苗親自示警後，日本大批網站緊急下線；台灣官方目前尚沒有公布國內受害案例。
（前情提要：OpenAI GPT‑5.6 Sol 揪出 PHP 重大漏洞！影響約七成網站、砸 10 億美元補貼防守端）
（背景補充：PHP、Node.js 連爆嚴重漏洞：最近上網要注意這 5 件事自保）
短網址服務 lihi 創辦人貝克菜 10 月 21 日晚間在臉書連發兩則貼文，直言這波 PHP 漏洞（PHP2Shell）攻擊「真的非常猛烈」，台灣一堆電商系統被打穿，全球也有一堆網站直接關機下架。他透露自家的 lihi 也有一小塊被打爆，10 幾萬筆會員資料裡，有 553 個 email 被挖走。
lihi 被拿走了什麼？會員要擔心嗎？
貝克菜說，lihi 這幾天被人「各種打，各種試，各種挖」，扛不扛得住，他坦言「也沒有十足的把握」。團隊的做法是對方打哪裡，就請 AI 檢查並修補。不過 lihi 並非毫髮無傷：有一小塊被打爆，靠 AI 快速止血後，10 幾萬筆會員資料中，被挖走的是 553 個 email 地址。
他強調外流的僅有 email，沒有帳號密碼、沒有信用卡、沒有個資；lihiSMS 的 KYC 資料則是收到後就離線關機。他還在過濾這 553 個 email 有多少是真實帳號，因為其中有不少是詐騙與釣魚帳號。營運上目前沒有任何影響，正式公告會在攻擊告一段落後貼在 lihi 粉絲頁；截至 22 日下午，粉絲頁還沒有事件公告。
為什麼他說這次特別嚴重？
第二則貼文裡，貝克菜的理由是：「連高市早苗都跑出來講這個 php 漏洞，就知道有多嚴重了」。日本首相高市早苗 21 日晚間在 X 貼文以「大至急」請求網站管理者確認是否使用 PHP，並在日本時間晚間 11 點修補發布後盡速套用；難以立即修補的，暫時停止網站也是降低風險的有效做法之一。截至 22 日下午，這則貼文約 7,359 萬次瀏覽。她 22 日中午再發文說，自己的個人官網 21 日也立刻關閉處理，到中午才恢復。
中央社東京專電指出，日本政府、金融、零售、交通、汽車業 21 日晚掀起緊急維護潮：札幌市官網 21 日晚間 9 點起關閉，氣象廳 22 日凌晨緊急維護。樂天票券暫停部分頁面，並說尚未確認遭攻擊或資料外洩；三菱 UFJ 部分服務也暫停，但報導沒說明是否與 PHP 漏洞有關。
貝克菜形容，攻擊者「只要對你的主機傳送數十次請求，就有可能直接掌管你整台主機」，全世界有超過 70% 的網站系統都用 PHP。PHP 官方公告的說法是，兩個漏洞（CVE-2026-109618、CVE-2026-109619）可讓攻擊者未經身分驗證就遠端執行程式碼，嚴重度評分 9.2（滿分 10）。簡單來說，就是不用登入，也能讓主機跑駭客的程式。PHP 5.4 起的版本都受影響，官方 21 日晚間 10 點（台灣時間）發布 8.5.12、8.4.27、8.3.36 與 8.2.35 修補版。
台灣現在什麼狀況？官方怎麼說？
貝克菜質疑，台灣的系統商有多少人有自覺。依中央社報導，資安署署長蔡福隆說，資安署 21 日晚間約 10 點收到 PHP 團隊發布的修補，3 小時內就發布警訊與新聞稿，並成立專案小組。盤點顯示，台灣約有 2 萬 8,000 個對外網站用 PHP 開發，其中政府機關約 200 個，但不是每個版本都受影響，實際受影響的會更少。
資安署建議的處理順序有三步：先更新 PHP 版本；舊版無法更新的，在網站前端架設網頁應用程式防火牆（WAF），也就是在請求進到主機前先過濾一輪；兩種都做不到，才建議暫時下架網站。遇到修補問題，可以找台灣電腦網路危機處理暨協調中心（TWCERT/CC）。
貝克菜是誰？
貝克菜是 lihi 短網址創辦人，dHConcept 懂生活的專訪稱他「電商圈大神」。依專訪中的自述，他大學畢業後先在電信公司做網管，後來做聯盟行銷、用累積的資料成立自有電商品牌，在美國賣保健食品；一年多後把美國的營運自動化、回到台灣，之後主要做電商系統和 lihi 短網址。
lihi 官網寫著，利害短網址有限公司 2017 年成立，服務超過 5,000 個品牌。旗下的 lihiSMS 是企業行銷簡訊服務，客戶要先完成實名驗證和電信白名單送審才能發簡訊，貼文提到的 KYC 資料，指的就是這類實名驗證資料。
📍相關報導📍
OpenAI 秘密協調兩個月，PHP 漏洞仍在發布修補前兩天走漏
