作者BPME (窝颗颗)
看板C_Chat
标题[闲聊] php重大漏洞 大量网站关站因应
时间Wed Oct 21 17:29:16 2026
https://x.com/expokun/status/2112795132374495687
https://x.com/expokun/status/2112836234125226247
php重大漏洞，团队将与晚上10点发布补丁
因为只有8.2以上版本可以由官方修补
大量网站必须手动修补
而骇客当然也盯上这个瞬间，补丁发布的瞬间就会直接用AI分析漏洞在哪，借此发动攻击
大量网站已关闭或将於补丁发布前暂时关闭
包含同人志贩售网站pictSPACE，动漫创作者网站Xfolio还有rule34都关站因应
我们普通人记得紧盯相关新闻，如有需要记得修改密码
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 101.12.158.14 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/C_Chat/M.1792574961.A.AC8.html
1F：推 smallreader: 6202了还有php网页 10/21 17:31
2F：→ qwer338859: 世界最好的语言 10/21 17:31
3F：→ rrskch: 成为轻小说家吧跟碧蓝农场也暂时关了 10/21 17:31
4F：推 qk3380888: 这两个月日本超多网站被骇 黑市都卖不掉了 10/21 17:31
5F：→ BPME: 网路上70%的网站是用php 10/21 17:32
6F：→ super0949: svwb也是要修这个 10/21 17:32
7F：→ dreamnook2: (′・ω・‵)大家懒的换的古董技术 10/21 17:32
8F：推 starsheep013: 不只有，还超多的 10/21 17:33
9F：推 easyfish: 出大事 10/21 17:34
10F：推 jacksnowman: GBF也要修了 10/21 17:34
11F：→ sinnerck1: 原来最近被骇是因为这个 10/21 17:35
12F：推 jeff666: 还能动就不要动 10/21 17:35
13F：→ mose56789: php很多吧 10/21 17:36
14F：推 aboutak47: svwb修有送也 gbf呢 10/21 17:36
15F：推 sd2567: php网路上一坨都是啊 10/21 17:36
16F：→ BPME: 跟最近被骇应该无关，目前没人知道漏洞是什麽，只知道很严重 10/21 17:36
17F：→ BPME: ，补丁发布相当於公布答案，那一个瞬间没做出因应的网站都会 10/21 17:36
18F：→ BPME: 被骇客攻击 10/21 17:36
19F：→ sezna: 没问题就别动啊 10/21 17:41
20F：推 shadow0326: 有些网站真的很G8 什麽注册要留全名的 信用卡不能删的 10/21 17:41
21F：→ xga00mex: 靠北 老网站php都不敢更新吧== 我不想加班啊 10/21 17:43
22F：推 kctrl: 你不更新才死更快 因为patch一上等於公布答案要怎麽破解 10/21 17:43
23F：推 BDroach: 能动就别动，动了就出大事 10/21 17:44
24F：→ kctrl: 你不更新的通通都能简单被骇客攻破 10/21 17:44
25F：推 ben2227486: 超级IT鬼故事 10/21 17:44
26F：推 sd2567: 不更新就是直接关站了 10/21 17:44
27F：→ shadow0326: 有些想更新还没得更新的 没升到php8的一堆 10/21 17:44
28F：→ sd2567: 没有人会不更新的 10/21 17:44
29F：→ kctrl: 这是AI时代的特色风味 10/21 17:44
30F：推 fman: AI时代官方都公布漏洞了还敢不更新，就等着被攻破而已，不想 10/21 17:45
31F：→ tsunamimk2: 这种东西nmap一扫全现形啦 10/21 17:45
32F：→ fman: 更新又不想不被攻破，就先把网站离线吧 10/21 17:45
33F：推 BDroach: 有些是内部站台啊，能不动就不动 10/21 17:45
34F：→ tsunamimk2: 日本特别严重 一堆wordpress based的 10/21 17:46
35F：→ linzero: 小说家连不上是因这个关闭吗？ 10/21 17:46
36F：推 RINPE: 可是老板这半年没加薪 10/21 17:46
37F：→ killme323: 用wordpress基本上就是吃屎 .. 10/21 17:46
38F：→ tsunamimk2: 因为连laravel都不肯用的一堆啊 10/21 17:47
39F：→ tsunamimk2: 然後wordpress一上去一堆plugin就死 10/21 17:48
40F：推 showwhat2: Laravel也有PHP的样子？我印象中不知道为什麽後面PHP变 10/21 17:48
41F：→ showwhat2: 大宗，只是有一些好的框架去改善这个问题。 10/21 17:48
42F：→ killme323: laravel就php最新的好框架(说新也是出挺久了 10/21 17:49
43F：→ tsunamimk2: 那种直接在hook中间魔改造的 用的php语法早就废了 10/21 17:49
44F：→ showwhat2: 我小学跟我学网页的对手当初是用ASP，我那时候还在用 10/21 17:49
45F：→ tsunamimk2: laravel就是php based的RoR like框架啊 10/21 17:49
46F：→ showwhat2: CGI里面的，好像现在也没CGI了。 10/21 17:50
47F：→ tsunamimk2: 但因为完全不是写php的逻辑 很多人不想用 10/21 17:50
48F：→ killme323: 现在去新用过 以前那堆php framework基本都淘汰光了 10/21 17:50
49F：→ killme323: laravel很多东西太方便 10/21 17:50
50F：→ showwhat2: 谢谢楼上们解释，我也只是喜欢所以有学一些。@@ 10/21 17:50
51F：→ tsunamimk2: 因为要老老实实写MVC很多php的老手很抗拒 10/21 17:50
52F：→ tsunamimk2: 所以就wordpress撑着 什麽都post_name post_data 10/21 17:51
53F：→ tsunamimk2: json自干 css自干 就这麽堆着用 10/21 17:51
54F：→ tsunamimk2: 但这次爆炸太大 没救了 10/21 17:51
55F：推 sd2567: 日本一堆白痴.json .css 10/21 17:52
56F：→ xga00mex: kkkkk 10/21 17:52
57F：→ tsunamimk2: 其实laravel一堆人也没升上php8 10/21 17:52
58F：→ killme323: wordpress真的不行啦 木马直接钻你家 10/21 17:52
59F：→ tsunamimk2: 不过我已经dotnet/spring很久很久啦 10/21 17:52
60F：→ tsunamimk2: 都快忘光那些东西了 10/21 17:52
61F：→ xga00mex: 不小心发出去 == 10/21 17:52
62F：→ tsunamimk2: wordpress那架构不做sql injection/php injection 10/21 17:53
63F：推 shadow0326: 还有用PHP5的呢 嘻嘻 10/21 17:53
64F：→ tsunamimk2: 都对不起自己 弱点扫描根本不可能过 10/21 17:53
65F：→ killme323: .net最早就纯拉webform pageload那个 简单是简单 10/21 17:53
66F：推 BDroach: 日本业界那麽可怕喔== 10/21 17:54
67F：→ tsunamimk2: 不是 我是说dotnet core 10/21 17:54
68F：→ killme323: 後面进化好的mvc还行 10/21 17:54
69F：→ tsunamimk2: 那与java/springboot是商业网站的基本 10/21 17:54
70F：→ killme323: 但我以前用过dotnet转型mvc过程中那段 颇痛苦 10/21 17:54
71F：→ tsunamimk2: 前後端分离也是基本了 10/21 17:54
72F：推 sinnerck1: 现在有AI 要升级很快了 10/21 17:54
73F：→ tsunamimk2: 因为不能写mvc 10/21 17:54
74F：→ BDroach: .net现在也都是分离了 10/21 17:55
75F：→ tsunamimk2: 基本上都是restful+SPA前端 10/21 17:55
76F：→ BDroach: 不过也是有一堆web form换不掉的 10/21 17:55
77F：→ killme323: 大部分都是 但如果你是自己一人同时做 有一些配套 10/21 17:55
78F：→ tsunamimk2: python based的也是 10/21 17:56
79F：→ tsunamimk2: webform现在弱扫也不会过... 10/21 17:56
80F：→ killme323: laravel有个Livewire 但你用下去要拆就很麻烦了 10/21 17:56
81F：→ tsunamimk2: 一堆CSP条件, 新的browser支援, 10/21 17:56
82F：→ killme323: 他是前後端参数黏在一起的 用了就没办法接api 10/21 17:57
83F：→ killme323: 自己做小型专案的话是可以用 10/21 17:57
84F：→ tsunamimk2: 然後後端容器microservices架构也是基本了 10/21 17:57
85F：→ tsunamimk2: 特别是AI时代 这种网站大概都是十倍速度在上线 10/21 17:58
86F：推 awenracious: 有些机关也还有php 10/21 17:58
87F：→ x90050: 老板不加钱不加人力,东西能动就好,这种问题全世界都有吧 10/21 17:58
88F：推 bobby4755: 个人网站跟部落格不知道还能撑多久 10/21 17:58
89F：→ tsunamimk2: 个人网站用python+django改写没难度啊 10/21 17:59
90F：→ tsunamimk2: 甚至不用AI 10/21 17:59
91F：推 Echobee: 跟银行业一样，早该换了但承担不了换的风险，只好继续用 10/21 17:59
92F：→ tsunamimk2: blog的框架也一堆现成的 10/21 17:59
93F：→ tsunamimk2: 与银行差多啦 银行是系统太巨大了 10/21 18:00
94F：推 rockmanalpha: 什麽还有PHP网页 你知道wordpress站有多少吗 10/21 18:00
95F：→ tsunamimk2: 这种个人小网站纯粹懒而已 10/21 18:00
96F：推 BDroach: 银行是不敢换 10/21 18:00
97F：→ killme323: 你要要求[一个人]做一个购物网站含金流购物上架 10/21 18:00
98F：→ killme323: 就是吃wordpress那种大便啊 10/21 18:00
99F：推 nakibasara: 小说家挡国外IP了，挂日本VPN还能上 10/21 18:01
100F：→ x90050: 用AI处理的确很快,问题是老板连token费用也不愿意花 10/21 18:01
101F：→ BDroach: 之前有参与过金融业的案子打杂，有够恐怖 10/21 18:01
102F：→ killme323: 银行那边太恐怖 根本不敢换 10/21 18:02
103F：→ x90050: 小公司IT常常都嘛在上演这种鬼故事 10/21 18:03
104F：推 rockmanalpha: 因为做管理介面真的很累 没团队没财力就是无脑wp 10/21 18:04
105F：→ rockmanalpha: wix那些 10/21 18:04
106F：→ rockmanalpha: 直接不用管後端 爆了就爆了 10/21 18:05
107F：推 bobby4755: 个人站大多是旧时代的产物 现在也不太可能特地去修漏洞 10/21 18:07
108F：→ bobby4755: 被爆破就应该直接让他去了 10/21 18:07
109F：推 avans: 其实还能警觉要关站应对也是不错了 10/21 18:09
110F：→ blackone979: 台湾也有一个商用平台被骇 最近一堆诈骗信收到手软 10/21 18:11
111F：→ BPME: 话说小说家发了一个公告，看起来应该是针对这次事件，但他只 10/21 18:13
112F：→ BPME: 锁国外ip，是觉得日本没有骇客吗== 10/21 18:13
113F：推 dickec35: 锁IP是脱裤子放屁的概念吗？ 10/21 18:17
114F：推 abccbaandy: CY不是听说技术力不错，结果还是用PHP喔... 10/21 18:17
115F：→ blackone979: GBF就几百年前的网页架构 没人敢改 10/21 18:19
116F：推 david31476: 程式能不动就不动业界都知道的吗，能跑当然不换 10/21 18:19
117F：推 buke: 不是多用Laraval吗？ 10/21 18:20
119F：→ laigeorge89: 问题改密码真的有用吗www 10/21 18:21
120F：推 rockmanalpha: 没听过屎山代码吗 做新的都比动旧的方便 10/21 18:21
121F：推 vincent8914: 现在fb也是php 10/21 18:21
122F：→ buke: FB的php是魔改过的 10/21 18:22
123F：→ MikageSayo: 然後小说家昨天还有一个注意诈骗信的公告 10/21 18:22
124F：→ rockmanalpha: Laravel你还得自己开发 wordpress一堆托管网站上去 10/21 18:22
125F：推 sd2567: 技术这种东西有惯性 要改很难 10/21 18:22
126F：→ kctrl: 锁ip是因为真的有用啊 日本分析这波攻击大半都海外来的 10/21 18:22
127F：推 beloud: 最好的程式语言 10/21 18:22
128F：→ rockmanalpha: 点几下就有了 装越多Plugin风险越高 10/21 18:23
129F：→ kctrl: 他先把最大波的挡住，剩下只要处理国内小部分就好 10/21 18:23
130F：推 sa7a1220: 宝可梦HOME突然维修，不知道是不是这原因 10/21 18:23
131F：推 tzouandy2818: Wordpress就是化粪池级屎山 管得住官方 也管不住插 10/21 18:23
132F：→ tzouandy2818: 件 10/21 18:23
133F：→ kctrl: 改密码是叫你不要一个密码用遍全世界引起连锁爆炸 10/21 18:24
134F：推 buke: admin/admin 10/21 18:24
135F：推 ruby080808: 为啥会觉得是脱裤子放屁==这不是很常见的行动之一吗== 10/21 18:25
136F：→ ruby080808: 这东西主要就开起来很快，可以简单先去掉一部分来自外 10/21 18:25
137F：→ ruby080808: 国的攻击，可以有更多的处理时间 10/21 18:25
138F：推 RINPE: 我已经期待明天大爆炸了XD 10/21 18:26
139F：→ killme323: fb的php几乎都他们自己用原生写的 10/21 18:27
140F：推 kctrl: 我自己的习惯是我觉得有风险的网站或地区我会随便设个烂 10/21 18:27
141F：→ kctrl: 密码摆烂 反正要偷给你偷 但跟金钱有关的所有网站都另外设 10/21 18:28
142F：→ zainc: 难怪FB前几天通知我更新帐号，不知道有没有相关~ 10/21 18:28
143F：→ kctrl: 事实证明是真的有用 多次遇到泄漏 连google都说我密码有风 10/21 18:29
144F：推 laigeorge89: (′・ω・‵)喔对吼 10/21 18:29
145F：→ kctrl: 险(摆烂让偷的那个) 10/21 18:29
146F：推 rockmanalpha: wordpress特别危险在於plugin大多不是官方写的 10/21 18:31
147F：→ rockmanalpha: 很容易吃XSS/CSRF套餐 10/21 18:32
148F：推 buke: 8.2之前的没官方patch，都要更版了 10/21 18:33
149F：→ rockmanalpha: sql也是土法炼钢直接sql injection就接管了 10/21 18:34
150F：推 Shinn826: 原本这漏洞是22号才要被公开的，现在是提早被泄露确认 10/21 18:34
151F：→ rockmanalpha: 不过看了下这漏洞是发生在程式运行之前 那程式写得 10/21 18:41
152F：→ rockmanalpha: 再安全也没用啊 是PHP核心爆了.. 10/21 18:42
153F：→ rockmanalpha: 那麽问题来了 就算Patch出来 但PHP8以下官方一概不 10/21 18:44
154F：→ rockmanalpha: 维护 你要那些十多年的甚至还有在用PHP5的怎麽升级 10/21 18:45
155F：→ rockmanalpha: 基本就等他爆，关站或者等神人救际了 10/21 18:45
156F：推 RDcat: 用魔法打你的魔法，就是这种感觉 10/21 18:48
157F：→ Echobee: 当然是跟骇客一样一起拿ai分析（ 10/21 18:48
158F：→ inte629l: 提早被泄漏也太猛 10/21 18:49
159F：→ ringil: ptt都还在用 就知道为什麽php还会有人用了 好用懒得换啊 10/21 18:50
160F：推 kctrl: 因为他这漏洞就底层问题 跟你防护做多好没关系 10/21 18:50
161F：→ kctrl: 从说明来看 他能直接绕过所有防御取得最高权限要怎样就怎样 10/21 18:51
162F：→ kctrl: 所以管你是官方还是只是使用开源php code的网站只要骇客想 10/21 18:52
163F：→ kctrl: 随便都能像逛客厅一样逛你伺服器内部 10/21 18:52
164F：→ willy1215: 有些web-base提供操作的系统也用php架构 10/21 19:28
165F：推 ainamk: 小说家 pixiv dlsite 角川 秋田 目前看到有反应的 10/21 19:37
166F：→ ainamk: 然後很搞笑的是小说家的维修公告被封的IP看不到XD 10/21 19:38
167F：→ xo1100: 该发新案子做系统了别再撑了 10/21 19:45
168F：→ xo1100: 或者叫AI尻个系统出来还安全得多 10/21 19:46
169F：→ WWIII: Php真的烂语言 10/21 19:54
170F：推 hugi147: session.upload_progress.enabled = Off 10/21 19:55
171F：→ WWIII: Wordpress 大厦要倒倒塌了吗 10/21 21:03
172F：推 skyrain1234: 碰过以前公司留下来的老php那堆屎山代码基本上要升级 10/21 21:16
173F：→ skyrain1234: 只能砍掉重练 10/21 21:16
174F：→ Shinn826: 今晚一堆网站拔网路线躲攻击罗 10/21 21:32
175F：→ spfy: 两个10分的RCE漏洞 直接关主机比较快== 10/21 21:41
176F：推 dandingduck: 时间快到了 10/21 21:44
177F：→ a52655: 10分真的关主机比较快 10/21 21:53
178F：推 ccpz: 已经公布了，结果不是之前谣传的progress或multipart 10/21 21:53
179F：推 rockmanalpha: 要倒一起倒呀 还是有不少大型网站或服务底层是PHP 10/21 21:53
180F：→ ccpz: 不只是 10/21 21:54
181F：→ ccpz: 难怪有php开发者说只改那几项没用 10/21 21:55
182F：推 rockmanalpha: 2026年还有公司在用AS400呢 商业上有些规模大到真的 10/21 21:56
183F：→ rockmanalpha: 不是说换就换 大到不能换 大到不能倒ww 10/21 21:56
184F：推 rockmanalpha: 嗯.. 只要是走WEB的全部中奖 尤其MOD_PHP模式可以在 10/21 22:00
185F：→ rockmanalpha: 本地代码运行前就能用漏洞攻击运行远程代码... 10/21 22:01
186F：推 ccpz: 理论上真的没办法升级的话，可以在前面放WAF去档啦 10/21 22:02
187F：→ ccpz: 但接下来就要防止被绕过了 10/21 22:02
188F：→ spfy: 看了一下新闻 CF说他们有先放WAF抢一下时间 但还是要补 10/21 22:02
189F：推 s800525: 怎台湾这边没啥动静？数发部呢？(笑 10/21 22:04
190F：→ rockmanalpha: WAF只能认特徵 改个变体就绕过了 最致命是其中有漏 10/21 22:05
191F：→ spfy: 为什麽会提到政府部门? 10/21 22:06
192F：→ rockmanalpha: 洞是运行PHP脚本之前就已经被攻击 核心爆开了.. 10/21 22:06
193F：推 ccpz: 定期发病吧，反正无视就好了 10/21 22:06
194F：→ ccpz: 会不会有人等等说管理者这样就拔线，以後不用这种烂网站ww 10/21 22:08
195F：推 s800525: 高市都出来喊话了，台湾这边风平浪静 10/21 22:11
196F：推 lankawi: 为什麽不能提到政府？ 10/21 22:13
197F：推 away612101: 因为这里是西恰不是八卦 10/21 22:16
198F：推 tank44444: 这个无法修补就离线到补好为止啊 10/21 22:21
199F：推 oyaji5566: 原来如此难怪一堆网站上不了 10/21 22:33
200F：→ oyaji5566: 吃一堆连线被拒还以为被ban ip了 10/21 22:33
201F：→ spfy: CGSS手游也直接维修了笑死 原来你们也有吗 10/21 22:39
202F：推 FCPo011674: 看起来cy的应该全中 10/21 22:59
203F：推 riderfish: 这个超大条 一两天内X应该很多灾情跑出来 10/21 23:08
204F：推 devilkool: 微服务绝对不是基本 多得是不需要杀鸡用牛刀的系统 10/21 23:08
205F：→ riderfish: 现在全世界维护人员狂更新中 10/21 23:08
206F：推 kai2573: php这语言真的很难用 那个箭头语法真的点点点 10/21 23:16
207F：推 westgatepark: 西洽版规都不知道就不要推文了真的= = 10/21 23:42
208F：推 applehpsh: 台湾资安谨慎的後端早就不用php了 10/22 00:10
209F：→ applehpsh: php就台湾工程师鄙视链底层语言 10/22 00:10
210F：推 WeAntiTVBS: 今晚大概修不好惹QQ 10/22 00:13
211F：推 heartbys: 用ai翻真的很快 10/22 00:29
212F：推 traveller870: php快点淘汰吧 时代的败北者 10/22 00:34
213F：推 rex7788: 乾脆趁这次出个gbf2.0吧 10/22 00:56
214F：→ Page122: 我转运仓库网站也维修 我的天 不愧是日本.. 10/22 01:36
215F：→ Page122: 一些大型代购平台也关了 上yahoo日本新闻top了 10/22 01:39
217F：→ WeAntiTVBS: 部分游戏已经修复重新上线 10/22 03:20
218F：推 ainamk: 一觉起来看到github也出问题 但看不懂出了什麽事 10/22 08:04
219F：推 asteea: 能用就好 不要更新动他》出大事了 10/22 09:05
220F：→ class21535: 我记得巴哈也是PHP 他们修这麽快吗 10/22 13:00
221F：推 kanabox: renta也是因为这个原因吗@@? 10/22 18:02