YouTube 影片筆記

日本首相罕見發文催修PHP漏洞，從9.2分漏洞成因講到台灣查證結果

YTGet 編輯室 Jim AI Notebook 觀看 8萬觀看原片

原片標題：PHP 爆重大漏洞，全球七成網站緊急修補，日本首相親自呼籲

原片說明

00:00 開場：一個程式語言的漏洞，為什麼讓日本首相親自發文？ 00:54 PHP 是什麼：很多網站背後的程式語言，漏洞有多嚴重（9.2 分） 03:57 誰找到的：Calif、Wiz、OpenAI 三方，AI 幫了多少說法不一 04:55 保密期被打破：編號先流出、PHP 官方提前一天公開修補 06:31 已經有人攻擊了嗎？業者與官方說法不一 07:32 高市早苗（日本首相）：今晚修補，來不及可以先停網站 08:29 BASE、CoDMON（日本）：預防性停機的取捨 09:23 英國 NCSC、歐盟 CERT-EU、德國 BSI、日本 IPA 怎麼說 11:20 網站主與一般人該做什麼，台灣的情況 12:50 AI 讓找漏洞變快：英國 NCSC、DARPA、OpenAI 怎麼說 2026 年 10 月 21 日，PHP 官方公布兩個 CVSS 9.2 分的嚴重漏洞（CVE-2026-109618、CVE-2026-109619），不需要登入就可能遠端執行程式碼。同一天晚上，日本首相高市早苗在 X 上請大家「今晚就處理」，來不及修補可以先暫停網站。這集用一條主線整理：PHP 是什麼、為什麼這麼急、日本為什麼這麼大動作，以及對你代表什麼。 ✅ 網站主（依 PHP 官方公告）：盡快更新到 PHP 8.5.12／8.4.27／8.3.36／8.2.35；網站放在主機商的，請確認主機商是否已修補；8.1 以前的版本官方已不再更新。一般使用者通常不需要安裝任何東西。 ⚠️ 本片不構成資安顧問建議，請以官方公告為準。本片只整理公開的官方資訊與防禦建議，不含任何攻擊手法，查證至 2026-10-21 台灣晚上。「約七成」是 W3Techs「在能判斷伺服器端語言的網站中 69.3%」，不是全部網站；是否已有攻擊，業者與官方說法不一；發現者依官方致謝為 Calif、Wiz、OpenAI 三方，AI 參與程度各家說法不同；CoDMON 公告未寫 PHP；日本法律與組織沿革是背景，不是官方說的發文原因；台灣三個機關截至 10/21 晚查不到警訊。畫面中的 X 貼文截圖出自各帳號公開貼文（時間戳已隱去），公告頁畫面出自各官方網站，僅作評論與報導用途。 📎 資料來源 • php.net：Security advisory: Critical remo https://www.php.net/archive/2026.php#2026-10-21-5 • php.net：Upcoming Critical PHP Security R https://www.php.net/archive/2026.php#2026-10-20-1 • php.net：PHP 下載與版本頁 https://www.php.net/releases/ • GitHub 安全公告 GHSA-w8hw-w9fx-j79w（CVE-2026 https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w • GitHub 安全公告 GHSA-6wmf-4rv5-p3rp（CVE-2026 https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp • PHP 基金會：Today's PHP security release and https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ • NVD：CVE-2026-109618 https://nvd.nist.gov/vuln/detail/CVE-2026-109618 • NVD：CVE-2026-109619 https://nvd.nist.gov/vuln/detail/CVE-2026-109619 • CVE.org：CVE-2026-109618 https://www.cve.org/CVERecord?id=CVE-2026-109618 • W3Techs：Usage statistics of PHP（2026-10- https://w3techs.com/technologies/details/pl-php • W3Techs：Usage statistics of WordPress https://w3techs.com/technologies/details/cm-wordpress • 高市早苗 X 貼文（2026-10-21 21:55 日本時間） https://x.com/takaichi_sanae/status/2112890642590564386 • 國家網路安全統括室 @cyber_forecast X 貼文（13:01 日本時 https://x.com/cyber_forecast/status/2112756056678134169 • 國家網路安全統括室 @cyber_forecast X 貼文（21:44 日本時 https://x.com/cyber_forecast/status/2112887821312942568 • 國家網路安全統括室 @cyber_forecast X 貼文（22:57 日本時 https://x.com/cyber_forecast/status/2112906086160429175 • 國家網路安全統括室：組織概要（2025 年 7 月由 NISC 改組） https://www.cyber.go.jp/about/overview • 國家網路安全統括室：2026-10-01 報道發表（部分規定施行） https://www.cyber.go.jp/pdf/press/houdou_20261001.pdf • 國家網路安全統括室：不正存取導致外洩事件彙整（2026-10-14） https://www.cyber.go.jp/news/20261014.html • 首相官邸：網路安全戰略本部會議（2026-07-31） https://www.kantei.go.jp/jp/105/actions/202607/31security.html • IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について（202 https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html • BASE 官方公告：緊急メンテナンス（2026-10-21） https://help.thebase.in/hc/ja/articles/63455442867737 • CoDMON 官方新聞室：服務暫停續報 https://www.codmon.co.jp/news-2/14634/ • CoDMON 服務網站：維護公告 https://www.codmon.com/info/maintenance/10243 • 英國 NCSC：Critical security issue affectin https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php • CERT-EU：Security Advisory 2026-018 https://cert.europa.eu/publications/security-advisories/2026-018/ • 德國 BSI：Cybersicherheitswarnung 2026-2979 https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032.html • 美國 CISA：Known Exploited Vulnerabilities https://www.cisa.gov/known-exploited-vulnerabilities-catalog • php2shell.com（Wiz Research × OpenAI × Ca https://www.php2shell.com/ • OpenAI：Patch the Planet: global response https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities • Cloudflare 部落格：PHP vulnerabilities WAF p https://blog.cloudflare.com/php-vulnerabilities-waf-protection/ • 英國 NCSC：Impact of AI on cyber threat fro https://www.ncsc.gov.uk/report/impact-ai-cyber-threat-now-2027 • DARPA：AI Cyber Challenge 決賽結果（2025-08-08 https://www.darpa.mil/news/2025/aixcc-results • TWCERT/CC：漏洞警訊公告（查證時無 PHP 項目） htt

日本首相親自發文叫大家「今晚就處理」，我第一個反應是：有這麼嚴重？結果還真的是。10 月 21 號晚上，高市早苗在 X 上請大家修補 PHP 漏洞，來不及就先停網站，同一時間日本已經有開店平臺和託兒所聯絡系統直接停機。這集 Jim 就從這個畫面開始，把 PHP 是什麼、9.2 分的漏洞有多嚴重、保密期為什麼被打破，一路講到臺灣這邊查得到什麼。

影片時間軸

00:04開場自我介紹，說明本集是時事解說
02:16解釋漏洞定義，帶出PHP兩個漏洞與9.2分嚴重程度
03:58說明漏洞由三個團隊發現，以及AI在其中的角色
04:56講解保密期制度，以及這次修補時程為何被提前打破
09:25比較各國資安機關的警示說法，對照日本的罕見大動作
11:22給網站管理者與一般使用者的具體建議
12:21查證臺灣三個機關公告頁，說明目前查不到針對性警訊
13:36收尾回顧全片重點，拋出AI先幫防守還是攻擊的提問

一條街上同一個牌子的鎖

Jim 用門鎖比喻 PHP 的位置，我覺得這是整集最好懂的一段。PHP 是伺服器端決定回你什麼畫面的程式語言，WordPress 就是用它寫的，所以問題不在哪個網站、也不在哪個外掛，而是大家共用的那一層。W3Techs 的數字是在「看得出伺服器語言的網站」裡有 69.3% 用 PHP，不是全世界七成網站，這點 Jim 特別講清楚，沒有把數字講大。

保密期被壓縮了兩次

原本約好 10 月 22 號一起公開，結果 20 號編號先在論壇流傳，PHP 官方把時間提前一天。中間 Calif 不小心發出示範攻擊的影片，雖然很快刪掉但已經傳開，接著 Chenguard 又比約定時間早好幾個小時自己發布修補版本。這段把「為什麼要搶這一天」講得很具體：修補一公開，等於公告哪個牌子的鎖有毛病，還沒換鎖的店反而最容易被找上。

日本為什麼是首相出來講

歐洲是資訊安全機關發警示，日本卻是首相自己開口。Jim 沒有替官方編理由，只列有文件可查的背景：2025 年 5 月通過主動網路防禦相關法律，7 月內閣網路安全中心改組成立國家網路安全統括室，10 月 1 號部分規定才剛上路，離這次事件只有三個星期。對照統括室下午和晚上兩則貼文，首相的句子幾乎一字不差，只是前面加了一句非常緊急的請求。