作者BPME (窩顆顆)
看板C_Chat
標題[閒聊] php重大漏洞 大量網站關站因應
時間Wed Oct 21 17:29:16 2026
https://x.com/expokun/status/2112795132374495687
https://x.com/expokun/status/2112836234125226247
php重大漏洞，團隊將與晚上10點發布補丁
因為只有8.2以上版本可以由官方修補
大量網站必須手動修補
而駭客當然也盯上這個瞬間，補丁發布的瞬間就會直接用AI分析漏洞在哪，借此發動攻擊
大量網站已關閉或將於補丁發布前暫時關閉
包含同人誌販售網站pictSPACE，動漫創作者網站Xfolio還有rule34都關站因應
我們普通人記得緊盯相關新聞，如有需要記得修改密碼
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.12.158.14 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/C_Chat/M.1792574961.A.AC8.html
1F：推 smallreader: 6202了還有php網頁 10/21 17:31
2F：→ qwer338859: 世界最好的語言 10/21 17:31
3F：→ rrskch: 成為輕小說家吧跟碧藍農場也暫時關了 10/21 17:31
4F：推 qk3380888: 這兩個月日本超多網站被駭 黑市都賣不掉了 10/21 17:31
5F：→ BPME: 網路上70%的網站是用php 10/21 17:32
6F：→ super0949: svwb也是要修這個 10/21 17:32
7F：→ dreamnook2: (′・ω・‵)大家懶的換的古董技術 10/21 17:32
8F：推 starsheep013: 不只有，還超多的 10/21 17:33
9F：推 easyfish: 出大事 10/21 17:34
10F：推 jacksnowman: GBF也要修了 10/21 17:34
11F：→ sinnerck1: 原來最近被駭是因為這個 10/21 17:35
12F：推 jeff666: 還能動就不要動 10/21 17:35
13F：→ mose56789: php很多吧 10/21 17:36
14F：推 aboutak47: svwb修有送也 gbf呢 10/21 17:36
15F：推 sd2567: php網路上一坨都是啊 10/21 17:36
16F：→ BPME: 跟最近被駭應該無關，目前沒人知道漏洞是什麼，只知道很嚴重 10/21 17:36
17F：→ BPME: ，補丁發布相當於公布答案，那一個瞬間沒做出因應的網站都會 10/21 17:36
18F：→ BPME: 被駭客攻擊 10/21 17:36
19F：→ sezna: 沒問題就別動啊 10/21 17:41
20F：推 shadow0326: 有些網站真的很G8 什麼註冊要留全名的 信用卡不能刪的 10/21 17:41
21F：→ xga00mex: 靠北 老網站php都不敢更新吧== 我不想加班啊 10/21 17:43
22F：推 kctrl: 你不更新才死更快 因為patch一上等於公布答案要怎麼破解 10/21 17:43
23F：推 BDroach: 能動就別動，動了就出大事 10/21 17:44
24F：→ kctrl: 你不更新的通通都能簡單被駭客攻破 10/21 17:44
25F：推 ben2227486: 超級IT鬼故事 10/21 17:44
26F：推 sd2567: 不更新就是直接關站了 10/21 17:44
27F：→ shadow0326: 有些想更新還沒得更新的 沒升到php8的一堆 10/21 17:44
28F：→ sd2567: 沒有人會不更新的 10/21 17:44
29F：→ kctrl: 這是AI時代的特色風味 10/21 17:44
30F：推 fman: AI時代官方都公布漏洞了還敢不更新，就等著被攻破而已，不想 10/21 17:45
31F：→ tsunamimk2: 這種東西nmap一掃全現形啦 10/21 17:45
32F：→ fman: 更新又不想不被攻破，就先把網站離線吧 10/21 17:45
33F：推 BDroach: 有些是內部站台啊，能不動就不動 10/21 17:45
34F：→ tsunamimk2: 日本特別嚴重 一堆wordpress based的 10/21 17:46
35F：→ linzero: 小說家連不上是因這個關閉嗎？ 10/21 17:46
36F：推 RINPE: 可是老闆這半年沒加薪 10/21 17:46
37F：→ killme323: 用wordpress基本上就是吃屎 .. 10/21 17:46
38F：→ tsunamimk2: 因為連laravel都不肯用的一堆啊 10/21 17:47
39F：→ tsunamimk2: 然後wordpress一上去一堆plugin就死 10/21 17:48
40F：推 showwhat2: Laravel也有PHP的樣子？我印象中不知道為什麼後面PHP變 10/21 17:48
41F：→ showwhat2: 大宗，只是有一些好的框架去改善這個問題。 10/21 17:48
42F：→ killme323: laravel就php最新的好框架(說新也是出挺久了 10/21 17:49
43F：→ tsunamimk2: 那種直接在hook中間魔改造的 用的php語法早就廢了 10/21 17:49
44F：→ showwhat2: 我小學跟我學網頁的對手當初是用ASP，我那時候還在用 10/21 17:49
45F：→ tsunamimk2: laravel就是php based的RoR like框架啊 10/21 17:49
46F：→ showwhat2: CGI裡面的，好像現在也沒CGI了。 10/21 17:50
47F：→ tsunamimk2: 但因為完全不是寫php的邏輯 很多人不想用 10/21 17:50
48F：→ killme323: 現在去新用過 以前那堆php framework基本都淘汰光了 10/21 17:50
49F：→ killme323: laravel很多東西太方便 10/21 17:50
50F：→ showwhat2: 謝謝樓上們解釋，我也只是喜歡所以有學一些。@@ 10/21 17:50
51F：→ tsunamimk2: 因為要老老實實寫MVC很多php的老手很抗拒 10/21 17:50
52F：→ tsunamimk2: 所以就wordpress撐著 什麼都post_name post_data 10/21 17:51
53F：→ tsunamimk2: json自幹 css自幹 就這麼堆著用 10/21 17:51
54F：→ tsunamimk2: 但這次爆炸太大 沒救了 10/21 17:51
55F：推 sd2567: 日本一堆白痴.json .css 10/21 17:52
56F：→ xga00mex: kkkkk 10/21 17:52
57F：→ tsunamimk2: 其實laravel一堆人也沒升上php8 10/21 17:52
58F：→ killme323: wordpress真的不行啦 木馬直接鑽你家 10/21 17:52
59F：→ tsunamimk2: 不過我已經dotnet/spring很久很久啦 10/21 17:52
60F：→ tsunamimk2: 都快忘光那些東西了 10/21 17:52
61F：→ xga00mex: 不小心發出去 == 10/21 17:52
62F：→ tsunamimk2: wordpress那架構不做sql injection/php injection 10/21 17:53
63F：推 shadow0326: 還有用PHP5的呢 嘻嘻 10/21 17:53
64F：→ tsunamimk2: 都對不起自己 弱點掃描根本不可能過 10/21 17:53
65F：→ killme323: .net最早就純拉webform pageload那個 簡單是簡單 10/21 17:53
66F：推 BDroach: 日本業界那麼可怕喔== 10/21 17:54
67F：→ tsunamimk2: 不是 我是說dotnet core 10/21 17:54
68F：→ killme323: 後面進化好的mvc還行 10/21 17:54
69F：→ tsunamimk2: 那與java/springboot是商業網站的基本 10/21 17:54
70F：→ killme323: 但我以前用過dotnet轉型mvc過程中那段 頗痛苦 10/21 17:54
71F：→ tsunamimk2: 前後端分離也是基本了 10/21 17:54
72F：推 sinnerck1: 現在有AI 要升級很快了 10/21 17:54
73F：→ tsunamimk2: 因為不能寫mvc 10/21 17:54
74F：→ BDroach: .net現在也都是分離了 10/21 17:55
75F：→ tsunamimk2: 基本上都是restful+SPA前端 10/21 17:55
76F：→ BDroach: 不過也是有一堆web form換不掉的 10/21 17:55
77F：→ killme323: 大部分都是 但如果你是自己一人同時做 有一些配套 10/21 17:55
78F：→ tsunamimk2: python based的也是 10/21 17:56
79F：→ tsunamimk2: webform現在弱掃也不會過... 10/21 17:56
80F：→ killme323: laravel有個Livewire 但你用下去要拆就很麻煩了 10/21 17:56
81F：→ tsunamimk2: 一堆CSP條件, 新的browser支援, 10/21 17:56
82F：→ killme323: 他是前後端參數黏在一起的 用了就沒辦法接api 10/21 17:57
83F：→ killme323: 自己做小型專案的話是可以用 10/21 17:57
84F：→ tsunamimk2: 然後後端容器microservices架構也是基本了 10/21 17:57
85F：→ tsunamimk2: 特別是AI時代 這種網站大概都是十倍速度在上線 10/21 17:58
86F：推 awenracious: 有些機關也還有php 10/21 17:58
87F：→ x90050: 老闆不加錢不加人力,東西能動就好,這種問題全世界都有吧 10/21 17:58
88F：推 bobby4755: 個人網站跟部落格不知道還能撐多久 10/21 17:58
89F：→ tsunamimk2: 個人網站用python+django改寫沒難度啊 10/21 17:59
90F：→ tsunamimk2: 甚至不用AI 10/21 17:59
91F：推 Echobee: 跟銀行業一樣，早該換了但承擔不了換的風險，只好繼續用 10/21 17:59
92F：→ tsunamimk2: blog的框架也一堆現成的 10/21 17:59
93F：→ tsunamimk2: 與銀行差多啦 銀行是系統太巨大了 10/21 18:00
94F：推 rockmanalpha: 什麼還有PHP網頁 你知道wordpress站有多少嗎 10/21 18:00
95F：→ tsunamimk2: 這種個人小網站純粹懶而已 10/21 18:00
96F：推 BDroach: 銀行是不敢換 10/21 18:00
97F：→ killme323: 你要要求[一個人]做一個購物網站含金流購物上架 10/21 18:00
98F：→ killme323: 就是吃wordpress那種大便啊 10/21 18:00
99F：推 nakibasara: 小說家擋國外IP了，掛日本VPN還能上 10/21 18:01
100F：→ x90050: 用AI處理的確很快,問題是老闆連token費用也不願意花 10/21 18:01
101F：→ BDroach: 之前有參與過金融業的案子打雜，有夠恐怖 10/21 18:01
102F：→ killme323: 銀行那邊太恐怖 根本不敢換 10/21 18:02
103F：→ x90050: 小公司IT常常都嘛在上演這種鬼故事 10/21 18:03
104F：推 rockmanalpha: 因為做管理介面真的很累 沒團隊沒財力就是無腦wp 10/21 18:04
105F：→ rockmanalpha: wix那些 10/21 18:04
106F：→ rockmanalpha: 直接不用管後端 爆了就爆了 10/21 18:05
107F：推 bobby4755: 個人站大多是舊時代的產物 現在也不太可能特地去修漏洞 10/21 18:07
108F：→ bobby4755: 被爆破就應該直接讓他去了 10/21 18:07
109F：推 avans: 其實還能警覺要關站應對也是不錯了 10/21 18:09
110F：→ blackone979: 台灣也有一個商用平台被駭 最近一堆詐騙信收到手軟 10/21 18:11
111F：→ BPME: 話說小說家發了一個公告，看起來應該是針對這次事件，但他只 10/21 18:13
112F：→ BPME: 鎖國外ip，是覺得日本沒有駭客嗎== 10/21 18:13
113F：推 dickec35: 鎖IP是脫褲子放屁的概念嗎？ 10/21 18:17
114F：推 abccbaandy: CY不是聽說技術力不錯，結果還是用PHP喔... 10/21 18:17
115F：→ blackone979: GBF就幾百年前的網頁架構 沒人敢改 10/21 18:19
116F：推 david31476: 程式能不動就不動業界都知道的嗎，能跑當然不換 10/21 18:19
117F：推 buke: 不是多用Laraval嗎？ 10/21 18:20
119F：→ laigeorge89: 問題改密碼真的有用嗎www 10/21 18:21
120F：推 rockmanalpha: 沒聽過屎山代碼嗎 做新的都比動舊的方便 10/21 18:21
121F：推 vincent8914: 現在fb也是php 10/21 18:21
122F：→ buke: FB的php是魔改過的 10/21 18:22
123F：→ MikageSayo: 然後小說家昨天還有一個注意詐騙信的公告 10/21 18:22
124F：→ rockmanalpha: Laravel你還得自己開發 wordpress一堆托管網站上去 10/21 18:22
125F：推 sd2567: 技術這種東西有慣性 要改很難 10/21 18:22
126F：→ kctrl: 鎖ip是因為真的有用啊 日本分析這波攻擊大半都海外來的 10/21 18:22
127F：推 beloud: 最好的程式語言 10/21 18:22
128F：→ rockmanalpha: 點幾下就有了 裝越多Plugin風險越高 10/21 18:23
129F：→ kctrl: 他先把最大波的擋住，剩下只要處理國內小部分就好 10/21 18:23
130F：推 sa7a1220: 寶可夢HOME突然維修，不知道是不是這原因 10/21 18:23
131F：推 tzouandy2818: Wordpress就是化糞池級屎山 管得住官方 也管不住插 10/21 18:23
132F：→ tzouandy2818: 件 10/21 18:23
133F：→ kctrl: 改密碼是叫你不要一個密碼用遍全世界引起連鎖爆炸 10/21 18:24
134F：推 buke: admin/admin 10/21 18:24
135F：推 ruby080808: 為啥會覺得是脫褲子放屁==這不是很常見的行動之一嗎== 10/21 18:25
136F：→ ruby080808: 這東西主要就開起來很快，可以簡單先去掉一部分來自外 10/21 18:25
137F：→ ruby080808: 國的攻擊，可以有更多的處理時間 10/21 18:25
138F：推 RINPE: 我已經期待明天大爆炸了XD 10/21 18:26
139F：→ killme323: fb的php幾乎都他們自己用原生寫的 10/21 18:27
140F：推 kctrl: 我自己的習慣是我覺得有風險的網站或地區我會隨便設個爛 10/21 18:27
141F：→ kctrl: 密碼擺爛 反正要偷給你偷 但跟金錢有關的所有網站都另外設 10/21 18:28
142F：→ zainc: 難怪FB前幾天通知我更新帳號，不知道有沒有相關~ 10/21 18:28
143F：→ kctrl: 事實證明是真的有用 多次遇到洩漏 連google都說我密碼有風 10/21 18:29
144F：推 laigeorge89: (′・ω・‵)喔對吼 10/21 18:29
145F：→ kctrl: 險(擺爛讓偷的那個) 10/21 18:29
146F：推 rockmanalpha: wordpress特別危險在於plugin大多不是官方寫的 10/21 18:31
147F：→ rockmanalpha: 很容易吃XSS/CSRF套餐 10/21 18:32
148F：推 buke: 8.2之前的沒官方patch，都要更版了 10/21 18:33
149F：→ rockmanalpha: sql也是土法煉鋼直接sql injection就接管了 10/21 18:34
150F：推 Shinn826: 原本這漏洞是22號才要被公開的，現在是提早被洩露確認 10/21 18:34
151F：→ rockmanalpha: 不過看了下這漏洞是發生在程式運行之前 那程式寫得 10/21 18:41
152F：→ rockmanalpha: 再安全也沒用啊 是PHP核心爆了.. 10/21 18:42
153F：→ rockmanalpha: 那麼問題來了 就算Patch出來 但PHP8以下官方一概不 10/21 18:44
154F：→ rockmanalpha: 維護 你要那些十多年的甚至還有在用PHP5的怎麼升級 10/21 18:45
155F：→ rockmanalpha: 基本就等他爆，關站或者等神人救際了 10/21 18:45
156F：推 RDcat: 用魔法打你的魔法，就是這種感覺 10/21 18:48
157F：→ Echobee: 當然是跟駭客一樣一起拿ai分析（ 10/21 18:48
158F：→ inte629l: 提早被洩漏也太猛 10/21 18:49
159F：→ ringil: ptt都還在用 就知道為什麼php還會有人用了 好用懶得換啊 10/21 18:50
160F：推 kctrl: 因為他這漏洞就底層問題 跟你防護做多好沒關係 10/21 18:50
161F：→ kctrl: 從說明來看 他能直接繞過所有防禦取得最高權限要怎樣就怎樣 10/21 18:51
162F：→ kctrl: 所以管你是官方還是只是使用開源php code的網站只要駭客想 10/21 18:52
163F：→ kctrl: 隨便都能像逛客廳一樣逛你伺服器內部 10/21 18:52
164F：→ willy1215: 有些web-base提供操作的系統也用php架構 10/21 19:28
165F：推 ainamk: 小說家 pixiv dlsite 角川 秋田 目前看到有反應的 10/21 19:37
166F：→ ainamk: 然後很搞笑的是小說家的維修公告被封的IP看不到XD 10/21 19:38
167F：→ xo1100: 該發新案子做系統了別再撐了 10/21 19:45
168F：→ xo1100: 或者叫AI尻個系統出來還安全得多 10/21 19:46
169F：→ WWIII: Php真的爛語言 10/21 19:54
170F：推 hugi147: session.upload_progress.enabled = Off 10/21 19:55
171F：→ WWIII: Wordpress 大廈要倒倒塌了嗎 10/21 21:03
172F：推 skyrain1234: 碰過以前公司留下來的老php那堆屎山代碼基本上要升級 10/21 21:16
173F：→ skyrain1234: 只能砍掉重練 10/21 21:16
174F：→ Shinn826: 今晚一堆網站拔網路線躲攻擊囉 10/21 21:32
175F：→ spfy: 兩個10分的RCE漏洞 直接關主機比較快== 10/21 21:41
176F：推 dandingduck: 時間快到了 10/21 21:44
177F：→ a52655: 10分真的關主機比較快 10/21 21:53
178F：推 ccpz: 已經公布了，結果不是之前謠傳的progress或multipart 10/21 21:53
179F：推 rockmanalpha: 要倒一起倒呀 還是有不少大型網站或服務底層是PHP 10/21 21:53
180F：→ ccpz: 不只是 10/21 21:54
181F：→ ccpz: 難怪有php開發者說只改那幾項沒用 10/21 21:55
182F：推 rockmanalpha: 2026年還有公司在用AS400呢 商業上有些規模大到真的 10/21 21:56
183F：→ rockmanalpha: 不是說換就換 大到不能換 大到不能倒ww 10/21 21:56
184F：推 rockmanalpha: 嗯.. 只要是走WEB的全部中獎 尤其MOD_PHP模式可以在 10/21 22:00
185F：→ rockmanalpha: 本地代碼運行前就能用漏洞攻擊運行遠程代碼... 10/21 22:01
186F：推 ccpz: 理論上真的沒辦法升級的話，可以在前面放WAF去檔啦 10/21 22:02
187F：→ ccpz: 但接下來就要防止被繞過了 10/21 22:02
188F：→ spfy: 看了一下新聞 CF說他們有先放WAF搶一下時間 但還是要補 10/21 22:02
189F：推 s800525: 怎台灣這邊沒啥動靜？數發部呢？(笑 10/21 22:04
190F：→ rockmanalpha: WAF只能認特徵 改個變體就繞過了 最致命是其中有漏 10/21 22:05
191F：→ spfy: 為什麼會提到政府部門? 10/21 22:06
192F：→ rockmanalpha: 洞是運行PHP腳本之前就已經被攻擊 核心爆開了.. 10/21 22:06
193F：推 ccpz: 定期發病吧，反正無視就好了 10/21 22:06
194F：→ ccpz: 會不會有人等等說管理者這樣就拔線，以後不用這種爛網站ww 10/21 22:08
195F：推 s800525: 高市都出來喊話了，台灣這邊風平浪靜 10/21 22:11
196F：推 lankawi: 為什麼不能提到政府？ 10/21 22:13
197F：推 away612101: 因為這裡是西恰不是八卦 10/21 22:16
198F：推 tank44444: 這個無法修補就離線到補好為止啊 10/21 22:21
199F：推 oyaji5566: 原來如此難怪一堆網站上不了 10/21 22:33
200F：→ oyaji5566: 吃一堆連線被拒還以為被ban ip了 10/21 22:33
201F：→ spfy: CGSS手遊也直接維修了笑死 原來你們也有嗎 10/21 22:39
202F：推 FCPo011674: 看起來cy的應該全中 10/21 22:59
203F：推 riderfish: 這個超大條 一兩天內X應該很多災情跑出來 10/21 23:08
204F：推 devilkool: 微服務絕對不是基本 多得是不需要殺雞用牛刀的系統 10/21 23:08
205F：→ riderfish: 現在全世界維護人員狂更新中 10/21 23:08
206F：推 kai2573: php這語言真的很難用 那個箭頭語法真的點點點 10/21 23:16
207F：推 westgatepark: 西洽版規都不知道就不要推文了真的= = 10/21 23:42
208F：推 applehpsh: 台灣資安謹慎的後端早就不用php了 10/22 00:10
209F：→ applehpsh: php就台灣工程師鄙視鏈底層語言 10/22 00:10
210F：推 WeAntiTVBS: 今晚大概修不好惹QQ 10/22 00:13
211F：推 heartbys: 用ai翻真的很快 10/22 00:29
212F：推 traveller870: php快點淘汰吧 時代的敗北者 10/22 00:34
213F：推 rex7788: 乾脆趁這次出個gbf2.0吧 10/22 00:56
214F：→ Page122: 我轉運倉庫網站也維修 我的天 不愧是日本.. 10/22 01:36
215F：→ Page122: 一些大型代購平台也關了 上yahoo日本新聞top了 10/22 01:39
217F：→ WeAntiTVBS: 部分遊戲已經修復重新上線 10/22 03:20
218F：推 ainamk: 一覺起來看到github也出問題 但看不懂出了什麼事 10/22 08:04
219F：推 asteea: 能用就好 不要更新動他》出大事了 10/22 09:05
220F：→ class21535: 我記得巴哈也是PHP 他們修這麼快嗎 10/22 13:00
221F：推 kanabox: renta也是因為這個原因嗎@@? 10/22 18:02