【資訊安全緊急通報】PHP、Node.js和Go

【明慧網二零二六年十月二十七日】（明慧記者綜合報導）今年十月二十一日起，全球PHP、Node.js與Go執行環境重大漏洞聯合警報。這是AI算力和應用爆發以來首次出現的重大全球資訊安全危機。

一、核心摘要

十月二十一日（上週三）起，全球資安機構與各大語言官方（PHP、Node.js）同步發布了針對底層執行環境（Runtime）的重大安全公告。這些漏洞允許未經授權的遠端攻擊者執行任意程式碼（RCE）或引發阻斷服務（DoS）。

由於漏洞存在於語言核心或內建函式庫中，僅更新前端應用程式或套件（如WordPress外掛、npm套件）無法解決問題，必須直接升級系統執行環境。

二、三大技術棧漏洞簡述

1. PHP：「PHP2Shell」
- 遠端執行漏洞：影響代號：CVE-2026-109618、CVE-2026-109619（CVSS 評分 9.2，極高風險）
- 漏洞本質：底層記憶體管理與全域狀態處理瑕疵。當系統發生記憶體不足（OOM）或請求切換時，可能導致記憶體損壞或重複使用殘留狀態。
影響範圍：所有未修補的PHP網站與伺服器（*攻擊者不需任何權限即可發起攻擊）。

2. Node.js：
Brotli解碼器與網路安全漏洞影響代號：包含CVE-2026-111497（Brotli記憶體越界寫入）及多項TLS/DNS驗證漏洞。
- 漏洞本質：<.b>內建的Brotli壓縮資料解碼器存在記憶體越界寫入缺陷；同時存在憑證與主機名稱驗證繞過風險。
- 影響範圍：<.b>處理未受信任的Brotli壓縮資料、對外網路連線及Proxy伺服器的Node.js服務。

3. Go語言與相關框架安全注意
- 漏洞本質：相關網路協定、標準庫或主流開源框架（如部份HTTP代理、網管介面）近期陸續爆發安全性修復。
- 影響範圍：使用特定版本Go模組或依賴項目的雲端原生服務。

三、資安緊急呼籲

- 跳過依賴檢查迷思：傳統的套件相依性檢查（如package.json或composer.json掃描）無法檢測出執行環境本身的漏洞，必須清點伺服器與容器內實際運行的Runtime版本。

- 拒絕未支援版本：已終止支援（EOL）的舊版本（如舊版PHP或Node.js 20 以下）將不會獲得官方修補程式，必須進行大版本升級或隔離。

四、技術團隊緊急行動建議（最低技術支援排查步驟）

若在資源有限或技術支援不足的情況下，請依序執行以下三個步驟：

步驟 1：資產快速清點（查版本）請登入伺服器或容器，確認當前運行的執行環境版本是否落在危險區間：

- PHP：檢查是否小於安全版本（見下方安全目標）。注意：部份 Linux 發行版會回溯修補程式（Backport），版號可能維持舊版但已修復，請核對官方布告欄或套件日誌。

- Node.js：檢查是否使用受影響的22.x、24.x或26.x 漏洞版本。

步驟 2：立即套用版本升級

請將環境升級至以下對應的安全版本，並重新啟動服務進程（如PHP-FPM、Node應用程式）以清除殘留記憶體：

- PHP安全目標版本：
PHP8.5系列=>升級至 8.5.12 (或更新)
PHP8.4系列==>升級至 8.4.27(或更新)
PHP8.3系列==>升級至 8.3.36(或更新)
PHP8.2系列==>升級至 8.2.35(或更新)