廣泛用於網站後端運作的程式語言PHP出現兩項嚴重保安漏洞，引發全球緊急修補行動。歐洲多國政府、學校及醫院網站10月21日（周三）預防性下線，避免黑客乘隙入侵。PHP開發團隊當日已發佈修補版本，強烈呼籲所有用戶立即更新，並警告部分配置下，攻擊者毋須登入，便可在網站應用程式碼執行前觸發攻擊。PHP被估計用於約全球七成網站。
兩漏洞評分9.2 可毋須登入執行程式碼
兩項漏洞編號分別為CVE-2026-109618及CVE-2026-109619，嚴重程度評分均達9.2分，滿分為10分。漏洞涉及記憶體處理及內部狀態管理，可讓未經身分驗證的攻擊者遠端執行程式碼。
PHP官方指出，所有處理網頁請求的PHP安裝均須評估風險，其中Apache搭配「mod_php」的配置風險最高；已展示的攻擊可透過未經驗證的請求，在應用程式碼開始運行前觸發。官方已推出PHP 8.5.12、8.4.27、8.3.36及8.2.35修補版本。
荷蘭DigiD及政府平台停服務 資安中心自身亦下線
荷蘭政府確認，多個公共服務網站因應漏洞預防性下線，包括電子身分認證服務DigiD、政府個人服務平台MijnOverheid，以及Overheid.nl。荷蘭國家網絡安全中心（NCSC）自身網站亦暫停開放。
荷蘭政府在當地時間21日下午發佈的公告中表示，當時尚未發現漏洞遭主動利用的跡象，但仍建議網站負責人評估風險，有需要時先將網站下線，並在更新推出後儘快安裝。公告亦指出，部分政府網站並不使用PHP，因此不受這次漏洞影響。
芬蘭亦採取預防措施，暫停政府公共網絡服務。路透社報道，歐洲多地政府、教育及醫療機構均加入緊急應對行列，反映這次漏洞的影響不只限於一般商業網站。
英歐吁立即修補 無法處理應隔離系統
英國國家網絡安全中心呼籲機構立即準備更新使用PHP的系統，若無法即時完成補救，應考慮暫時下線，直至風險獲充分處理。
歐盟電腦保安事故應變組織（CERT-EU）亦要求立即修補；若未能及時完成，應考慮將對外應用程式與公共網絡隔離，待安裝修補及驗證後才恢復。
官方同時強調，臨時緩解措施只能減低部分攻擊途徑的風險，不能令系統完全安全，更新才是完整修復方法。
日本吁盤點隱藏PHP 澳洲、德國及斯洛伐克發警報
日本資訊處理推進機構（IPA）提醒，PHP除了用於網站，亦可能嵌入軟件產品及網絡設備，機構應在可行情況下盤點使用情況，留意供應商公告，準備迅速套用修補。IPA亦警告，部分網站仍使用已停止支援的舊版本，攻擊者可能在漏洞資料公開後極短時間內發動攻擊。
澳洲網絡安全中心、德國聯邦資訊安全辦公室及斯洛伐克SK-CERT亦發佈相關警報，指兩項漏洞可能讓未經驗證的遠端攻擊者在受影響系統執行任意程式碼。
AI協助揭發隱患 各地對攻擊情況掌握不同
今次漏洞由研究人員利用人工智能協助揭發，亦令外界關注AI加快尋找漏洞及開發攻擊工具的雙重作用。美國白宮表示，聯邦機構正評估對政府系統及關鍵基礎設施的潛在影響。
至於是否已遭利用，路透社報道，Cloudflare表示已看到早期攻擊出現。
