PHP2Shell 漏洞昨晚讓多國政府機關與大型服務緊急預防性下線，同時間還爆發 Node.js 與 eMudhra 憑證問題。本文整理一般讀者這幾週瀏覽網站時，該提防哪些事？
（前情提要：OpenAI GPT‑5.6 Sol 揪出 PHP 重大漏洞！影響約七成網站、砸 10 億美元補貼防守端）
（背景補充：Node.js 緊急修 Brotli 高危漏洞！三現行分支齊發安全版，EOL 版本也恐受影響）
先說結論：手機和電腦不必另外裝任何東西，但接下來幾週上網，要多提防釣魚信、假的更新畫面和不熟的網店結帳。相信您應該已經看到許多報導，提到昨晚公開的 PHP 漏洞，如何讓全球開發者熬夜補漏洞，甚至讓荷蘭、德國、日本等多國的政府與大型服務，在來不及修補的情況下直接先把網站下線。
這次的漏洞在網站伺服器的軟體，不在手機或電腦上，所以基本上一般讀者不需要做任何事。你可能會感受到的，是政府網站或常逛的網店暫時打不開；但如果沒修補的伺服器外洩資料，那事情就可能會變嚴重。
為什麼這次這麼嚴重？哪些網站先下線了？
兩個漏洞合稱「PHP2Shell」，PHP 官方安全公告評為重大，CVSS v4.0 評分 9.2（滿分 10）。
這屬於遠端程式碼執行（RCE），意思是攻擊者不必登入，就能在網站伺服器上執行自己的程式。問題在 PHP 本身而非外掛，WordPress、Drupal 等都建在上面；依 W3Techs 統計，約七成已知伺服器端語言的網站用 PHP。修補版 21 日晚間近 10 點發布，但細節前一天就外洩、攻擊工具也已流出，各地來不及修的平台，就選擇先關門。
美國 CISA 建議，無法立即更新或還在用 PHP 8.1 以前版本的組織，先讓 PHP 系統離線；英國 NCSC、歐盟 CERT-EU 也給了同樣的建議。日本首相高市早苗昨晚甚至親自在 X 發文，表示難以立即修補時，「暫時停止網站」也是降低風險的有效方法之一。
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。…— 高市早苗 (@takaichi_sanae) October 21, 2026
路透整理，荷蘭許多組織跟著國家網路安全中心先下線，包括鹿特丹港、政府入口網站 Overheid.nl、五大政黨網站與多家醫院，數位身分登入服務 DigiD 也暫停；德國聯邦 IT 服務商 ITZBund 關掉數個網站，法國內政部關閉各省政府網站，比利時外交部、芬蘭政府對外服務與捷克政府網站也都先下線。維基百科母公司維基媒體基金會表示，所有用 PHP 的系統都受影響，已先關閉部分系統。
民間也一樣。瑞士主機商 Cyon 把客戶入口、網路郵件與所有代管網站一起下線，討論版 4chan、電競百科 Liquipedia 也連不上。日本的 pixiv、niconico、電子書店 BOOK☆WALKER 與《寶可夢 Sleep》《賽馬娘》等遊戲緊急維護，多數停到 22 日清晨才恢復，任天堂也暫停部分服務。
這些多屬預防性下線，官方多表示沒有發現入侵，芬蘭就稱沒有發現攻擊嘗試。台灣方面，數位發展部資安署 22 日凌晨呼籲使用 PHP 的機關、學校及企業儘速確認版本並更新。
那現在有人被打嗎？說法不一。Cloudflare 技術長表示，修補前就看到早期攻擊；watchTowr 的 Jake Knott 說有攻擊嘗試，「到目前為止還沒有人成功，但我們不認為這會持續太久。」Patchstack 僅見探測性攻擊，CISA 警報發布時也尚未觀察到遭利用；Sansec 則預期大規模攻擊會來。
瀏覽網站時，具體要注意什麼？
WordPress 外掛開發商 Meow Apps 說明，網站被入侵後，攻擊者常把訪客轉到詐騙網站，且常僅轉「從 Google 點進來」或「用手機瀏覽」的人，站長自己看不到。風險不會在補丁出來那天結束，以下五件事建議這幾週固定下來。
別點信裡的「緊急更新」或「重設密碼」連結。blue News 提醒，詐騙集團很快會利用這類新聞釣魚，要你安裝「緊急安全更新」的信，直接刪掉。CISA 也提醒，要改密碼就自己開官網或 App。但主機商也會寄修補進度的信，所以判斷方法是不點信中連結、自己登入官網確認。
常用網站打不開，先等官方公告，別搜尋「替代網址」。
看到要你下載「瀏覽器更新」或貼上指令的畫面，立刻關掉。常見手法包括假的「瀏覽器需要更新」、假的「驗證你是真人」要你貼上指令，或把付款頁換成假的。這並非這次已確認發生的事，但訪客中招確實發生過：迷因幣 PEPE 官網就曾被植入盜幣程式碼。
在不熟的小型網店結帳，優先用有即時交易通知的信用卡或第三方支付。Sansec 指出，WooCommerce 等電商網站，就算自己的程式沒問題也在範圍內。筆者建議，之後幾週多留意帳單。
重要帳號開兩步驟驗證，每個帳號用不同的強密碼。資安公司 Wiz 示範，不必取得執行權，就能讀出 PHP 執行程式的記憶體，裡面可能有密碼、登入權杖（token，記住你已登入的憑據）與 API 金鑰。也就是說，沒修補的網站可能漏出你的登入資料。
CISA 建議重要帳號開兩步驟驗證、每個帳號用不同的密碼；blue News 也提醒，接下來幾天若有服務公告資料外洩，就馬上改那個帳號的密碼。
有在用交易所、錢包的人要擔心嗎？
目前查無交易所或錢包因 PHP2Shell 遭入侵的報告，Kraken、Ledger 也沒傳出被駭。
筆者建議：從書籤進交易所，別從搜尋結果或廣告點；API 金鑰設定 IP 白名單、關閉提領功能；轉帳前在硬體錢包螢幕上核對地址。自己跑交易機器人的人，請更新 Python certifi 與 Node.js，因為研究者 Scott Helme 測試發現，curl、Python、Node、Go 與 Java 都接受了一張偽造的 Stripe API 憑證；Node.js 21 日的更新已移除 eMudhra 相關信任。
自己有架站或寫程式，要做什麼？
PHP 請升到 8.5.12、8.4.27、8.3.36 或 8.2.35；用虛擬主機的人，請主機商確認底層 PHP 已更新，光更新 WordPress 沒用。8.1 以前官方不再更新，要找回補或升級。Sansec 提醒，WordPress 內建的「維護模式」擋不住，要真正停掉 PHP。
修補後，Kraken 資安長 Nick Percoco 提醒要檢查有沒有未經授權的管理員帳號與網頁後門（web shell），因為補洞不等於把已經進來的人趕出去。Node.js 升到 26.12.1、24.22.1 或 22.23.4。
📍相關報導📍
迷因幣佩佩蛙 $PEPE 官網遭駭！前端被植入「Inferno Drainer」惡意程式碼，千萬別點進去
中文駭客靠 AI 代理狂掃 1,200 個網站！Deere、SharkNinja 受害，每次入侵只要 50 美元
駭客買下 30 款 WordPress 外掛植入後門、潛伏8個月，用以太坊智慧合約繞過域名封鎖
