2026年10月27日 星期二

[閒聊] PHP 發現超嚴重漏洞

連日本首相高市早苗都針對 PHP 漏洞這件事發推文了

新聞報導原來高市早苗本人真的對資安有實務經驗

PHP資安風暴為何高市早苗急速親自示警? 她8年前就出過專書

全球從週三(21日)開始,就陷入PHP程式語言漏洞造成的超級資安風暴中。日本首相高市早苗是全球領導人第一個親自對民眾發出緊急警告的人,結果日本網友發現,她8年前就出過日本資訊安全的專著,而且出版社就是「PHP研究所」。

高市早苗在日本當地時間週三深夜,於社群平台X發出的訊息,姿態非常急切。她寫說:「這是一件需要大家在今夜就配合的極度緊急事件……請各單位確認公開網站是否使用了PHP……並做好盡可能快速套用更新的準備。」她也直接建議若無法及時進行安全更新,應把網站直接先暫時下線。

與之對應,高市早苗自己的個人網站也約在同時下線關閉。

國家最高領導人親自出面警告資安風暴並不常見,高市早苗的做法引發國際關注。有日本網友指出,日本首相親自出面警告PHP漏洞風險,對他們這些資訊安全人員來說是天大的好消息,因為不必費盡唇舌向上司解釋問題的嚴重性,只要展示「看,首相都這麼說了」,就能夠立刻採取緊急行動。

隨後,日本網友注意到高市早苗其實在2018年就出版過資訊安全的書。這本《防範網路攻擊守護生活安全!藉由『網路安全產業化』帶動日本成長》是在2018年12月出版,定價含稅1760日圓(約365元台幣)。

書中內容是高市早苗2017年11月出任自民黨新設的「網路安全對策本部」本部長後,任職期間透過她的實務觀察,集結經驗、呼籲發展網路資訊安全產業而出的書。尤其引起注意的是,本書出版商為「PHP研究所」,與這次出問題的PHP程式語言是同一種名字。

但是這個PHP研究所其實跟PHP程式語言毫無關係。總部位於京都市的PHP研究所,是日本「經營之神」、松下電器(今日的Panasonic)創辦人松下幸之助在1946年創立,其PHP為「透過繁榮實現和平與幸福」(Peace and Happiness through Prosperity)的英文縮寫。

相對地,PHP程式語言是源於1995年的「Personal Home Page Tools」(個人網頁工具集),是在松下幸之助的PHP研究所之後近50年才出現。

高市早苗早年的從政經歷,一大亮點就是她年輕時進入「松下政經塾」學習,這是由松下幸之助創立的日本政經領袖搖籃。她與松下系統的關係自然相當密切。這次意外再度浮現她8年前就透過松下體系所出的資安書籍,又造成了新的話題。

2026年10月25日 星期日

[閒聊] 有線電視

搬到現在的租屋處快滿一年了
到今天才請有線電視業者來安裝
業者是觀天下, 月租費 $500

原本想說順便申請安裝寬頻網路
300M 月租費 $399
但太太問我說寬頻網路用途是什麼
結果好像講不出一個理由

因為現在租屋處沒有桌機電腦只有筆電
然後兩個人的手機門號都是吃到飽
沒有一定要寬頻網路的需求
所以最後就沒安裝寬頻網路了

早上業者來安裝有線電視還蠻快的
半個小時就弄好了
安裝費 $1200, 工本費 $100, 月租費 $500
總共 $1800 直接給安裝人員

2026年10月24日 星期六

[閒聊] 減肥計畫實行中

2026.10.24 -- 照顧兒子
2026.10.17 +0.5 97.8
2026.10.10 +0.9 97.3
2026.10.03 -- 照顧兒子
2026.09.26 -- 照顧兒子
2026.09.19 -- 照顧兒子
2026.09.12 -- 照顧兒子
2026.09.05 -- 照顧兒子
2026.08.29 -- 照顧兒子
2026.08.22 -- 照顧兒子
2026.08.15 -- 照顧兒子
2026.08.08 -- 照顧兒子
2026.08.01 -- 照顧兒子
2026.07.25 -- 照顧兒子
2026.07.18 -- 照顧兒子
2026.07.11 -- 照顧兒子
2026.07.04 -- 照顧兒子
2026.06.27 -- 照顧兒子
2026.06.20 -- 照顧兒子
2026.06.13 -- 照顧兒子
2026.06.06 -- 照顧兒子
2026.05.30 -- 照顧兒子
2026.05.23 -- 照顧兒子
2026.05.16 +1.05 96.4
2026.05.09 -1.1 95.35
2026.05.02 -- 照顧兒子
2026.04.25 -- 照顧兒子
2026.04.18 -- 照顧兒子
2026.04.11 -- 照顧兒子
2026.04.04 -- 照顧兒子
2026.03.28 -- 照顧兒子
2026.03.21 -- 照顧兒子
2026.03.14 -- 照顧兒子
2026.03.07 -- 照顧兒子
2026.02.28 -- 照顧兒子
2026.02.21 -- 照顧兒子
2026.02.14 -- 照顧兒子
2026.02.07 -- 照顧兒子
2026.01.31 +0.6 96.45
2026.01.24 -- 照顧兒子
2026.01.17 -- 照顧兒子
2026.01.10 +1.35 95.85
2026.01.03 -- 照顧兒子
2025.12.27 -- 照顧兒子
2025.12.20 -- 照顧兒子
2025.12.13 -- 照顧兒子
2025.12.06 -- 照顧兒子
2025.11.29 -- 照顧兒子
2025.12.27 -- 照顧兒子
2025.11.22 -- 照顧兒子
2025.11.15 -- 照顧兒子
2025.11.08 +0.2 94.5
2025.11.01 -- 照顧兒子
2025.10.25 -- 照顧兒子
2025.10.18 +1.0 94.3
2025.10.11 -- 照顧兒子
2025.10.04 +2.75 93.3
2025.09.27 -- 照顧兒子
2025.09.20 -- 照顧兒子
2025.09.13 -- 照顧兒子
2025.09.06 -- 照顧兒子
2025.08.30 -- 照顧兒子
2025.08.23 -- 照顧兒子
2025.08.16 -- 照顧兒子
2025.08.09 -- 照顧兒子
2025.08.02 -- 照顧兒子
2025.07.26 -- 照顧兒子
2025.07.19 -- 照顧兒子
2025.07.12 -- 照顧兒子
2025.07.05 -- 照顧兒子
2025.06.28 -- 照顧兒子
2025.06.21 -0.05 90.55
2025.06.14 -0.3 90.6
2025.06.07 -- 照顧兒子
2025.05.31 -- 照顧兒子
2025.05.24 -- 照顧兒子
2025.05.17 -- 兒子出生
2025.05.10 +1.05 90.9
2025.05.03 -- 兒子出生
2025.04.26 +0.85 89.85
2025.04.19 -- 兒子出生
2025.04.12 -- 兒子出生
2025.04.05 -- 兒子出生
2025.03.29 -0.2 89.0
2025.03.22 +0.4 89.2
2025.03.15 -0.4 88.8
2025.03.08 +0.3 89.2
2025.03.01 -- 工作過忙
2025.02.22 -0.4 88.9
2025.02.15 +0.65 89.3
2025.02.08 +0.8 88.65
2025.02.01 -- 農曆春節
2025.01.25 +1.0 87.85
2025.01.18 +0.55 86.85
2025.01.11 +0.2 86.3
2025.01.04 -- 感冒發燒
2024.12.28 -0.5 86.1
2024.12.21 -- 事務繁多
2024.12.14 -- 事務繁多
2024.12.07 -- 事務繁多
2024.11.30 +0.8 86.6
2024.11.23 -0.4 85.8
2024.11.16 -0.3 86.2
2024.11.09 -- 老爸喪禮
2024.11.02 -- 老爸喪禮
2024.10.26 +0.9 86.5
2024.10.19 -0.7 85.6
2024.10.12 -- 工作過忙
2024.10.05 +1.3 86.3
2024.09.28 -- 工作過忙
2024.09.21 -0.2 85.0
2024.09.14 -0.8 85.2
2024.09.07 +1.0 86.0
2024.08.31 -0.3 85.0
2024.08.24 +0.1 85.3
2024.08.17 -0.5 85.2
2024.08.10 -0.3 85.7
2024.08.03 -0.6 86.0
2024.07.27 -- 工作過忙
2024.07.20 +0.4 86.6
2024.07.13 -- 工作過忙
2024.07.06 +0.1 86.2
2024.06.29 -- 蜜月旅行
2024.06.22 -- 蜜月旅行
2024.06.15 +0.7 86.1
2024.06.08 -0.6 85.4
2024.06.01 +0.35 86.0
2024.05.25 0 85.65
2024.05.18 -- 籌備婚禮
2024.05.11 +0.05 85.65
2024.05.04 -1.2 85.6
2024.04.27 +0.5 86.8
2024.04.20 -0.3 86.3
2024.04.13 -0.45 86.6
2024.04.06 +0.3 87.05
2024.03.30 +0.15 86.75
2024.03.23 -0.65 86.6
2024.03.16 -1.075 87.25
2024.03.09 +0.125 88.325
2024.03.02 -1.1 88.2
2024.02.24 -1.1 89.3
2024.02.17 +1.1 90.4
2024.02.10 -- 農曆春節
2024.02.03 -- 腳痛休息
2024.01.27 +0.267 89.3
2024.01.20 +0.3 89.033
2024.01.13 +0.283 88.733
2024.01.06 +0.95 88.45
2023.12.30 -0.367 87.5
2023.12.23 +0.367 87.867
2023.12.16 +0.4 87.5
2023.12.09 -0.65 87.1
2023.12.02 +0.35 87.75
2023.11.25 0 87.4
2023.11.18 +0.3 87.4
2023.11.11 +0.2 87.1
2023.11.04 -0.567 86.9
2023.10.28 +0.067 87.467
2023.10.21 +0.1 87.4
2023.10.14 +0.1 87.3
2023.10.07 -0.4 87.2
2023.09.30 +0.2 87.6
2023.09.23 +0.1 87.4
2023.09.16 -0.15 87.3
2023.09.09 +0.25 87.45
2023.09.02 +0.8 87.2
2023.08.26 +0.167 86.4
2023.08.19 -0.217 86.233
2023.08.12 +0.5 86.45
2023.08.05 -0.2 85.95
2023.07.29 +0.35 86.15
2023.07.22 -0.25 85.8
2023.07.15 -0.15 86.05
2023.07.08 -0.25 86.2
2023.07.01 +0.35 86.45
2023.06.24 0 86.1
2023.06.17 +0.2 86.1
2023.06.10 +0.55 85.9
2023.06.03 +0.25 85.35
2023.05.27 -- 新冠確診
2023.05.20 -- 新冠確診
2023.05.13 -0.25 85.1
2023.05.06 -0.15 85.35
2023.04.29 +0.25 85.5
2023.04.22 -0.4 85.25
2023.04.15 +0.55 85.65
2023.04.08 0 85.1
2023.04.01 +0.25 85.1
2023.03.25 -0.25 84.85
2023.03.18 -0.4 85.1
2023.03.11 -- 未量體重
2023.03.04 +0.8 85.5
2023.02.25 -0.067 84.7
2023.02.18 +0.117 84.767
2023.02.11 -0.05 84.65
2023.02.04 -0.55 84.7
2023.01.28 -- 農曆春節
2023.01.21 +0.9 85.25
2023.01.14 -0.25 84.35
2023.01.07 +0.15 84.6
2022.12.31 -0.583 84.45
2022.12.24 +0.333 85.033
2022.12.17 -0.967 84.7
2022.12.10 -0.566 85.667
2022.12.03 -0.034 86.233
2022.11.26 +0.267 86.267
2022.11.19 +0.55 86.0
2022.11.12 +0.4 85.45
2022.11.05 +0.55 85.05
2022.10.29 -- 防疫關閉

2026年10月23日 星期五

[閒聊] 颱風假

這次的薔琵颱風
真的風超級大
算是一個真的該放颱風假的日子

只是
今天一早七點半就收到主管交待工作的訊息
一直忙到晚上六點多才把工作完成
所以其實也沒放到什麼颱風假 Orz

麻煩太太一個人照顧寶寶與做家事一整天
真是不太好意思

2026年10月22日 星期四

[閒聊] PHP 發現超嚴重漏洞

PHP 雙重高危 RCE 漏洞提前外洩
被提早 14 小時爆料 大量伺服器恐被入侵

【注意】全球廣泛採用的網頁伺服器端指令碼語言 PHP 爆出嚴重安全漏洞。PHP 官方安全團隊原定於香港及台灣時間 10 月 21 日晚間釋出緊急更新,以修補兩個 CVSS v4.0 評分高達 9.2 的重大漏洞。然而,相關弱點細節與編號在保密禁運期(Embargo)結束前不幸提前外洩。資安研究機構證實,這兩個漏洞皆屬於 PHP 核心層級的遠端程式碼執行(RCE)弱點;更嚴峻的是,全球目前有近六成對外連線的 PHP 伺服器因版本過舊已終止支援,將無法獲得官方安全修補。

據悉,整宗事件起因於社交討論平台 Hacker News 上出現的一則爆料貼文,宣稱 PHP 存在兩個最高嚴重等級的 RCE 漏洞,影響範圍涵蓋 PHP 5 之後的所有版本。雖然該貼文隨即遭到刪除,但截圖已在各大社交與通訊平台上瘋傳。

該貼文詳細描述,該兩項弱點均存在於 PHP 的 session.upload_progress(Session 上傳進度處理器)模組中,屬於「堆積釋放後使用」(Heap Use-After-Free, UAF)漏洞。當伺服器在處理檔案上傳進度狀態時,因記憶體釋放管理不當,可能導致攻擊者藉此劫持程式控制流程,進而達成遠端程式碼執行(RCE)或引發伺服器崩潰。

資安業者 watchTowr 隨後證實外洩情事屬實,並成功重現其中一個漏洞,確認兩項漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619。由於攻擊概念與相關資訊提前曝光,PHP 官方團隊被迫調整排程,將原定於 10 月 22 日發布的更新提前一天至 10 月 21 日釋出。業界更傳出網絡上已出現名為「PHP2Shell」的潛在攻擊工具截圖與概念驗證展示,顯示攻擊者可能無須通過任何身分驗證,僅需發送特定惡意請求即可取得伺服器控制權限。

資安圈對於該漏洞過早於社交網絡公開反應強烈,多位專業人士指出,PHP 作為全球大量網站與 Web 應用伺服器的底層核心語言,其未修補的重大漏洞一旦曝光,將使無數伺服器在官方釋出修補更新前,處於毫無防護的空窗期。

研究人員 4latte 在社交平台上情緒激動地斥責提前洩漏漏洞者:「難道你就不能再等 14 個小時嗎?」並直言該行為已嚴重違反資安業界倫理,應被資安及相關產業永久列入黑名單。

本次漏洞最棘手的關鍵在於受影響的基礎設施規模極為龐大。根據威脅情資平台 Mallory 透過 Shodan 針對全球約 150 萬部回報 PHP 版本的對外伺服器進行掃描分析,高達 59%(約 88.4 萬部)的主機仍執行已經停止支援(EOL)的舊版本:

■PHP 8.2 至 8.5(約 61.2 萬部):屬於官方目前維護分支,將獲得官方修補程式(預計釋出 8.5.12、8.4.27、8.3.36 與 8.2.35)。

■PHP 8.0 與 8.1(約 18.6 萬部):已停止官方維護,無法取得官方修補。

■PHP 7.x 系列(約 32.9 萬部):已停止官方維護,無法取得官方修補。

■PHP 5.x 系列(約 36.9 萬部):已停止官方維護,無法取得官方修補。
 
由於 PHP 長年作為 WordPress、WooCommerce、Drupal、Joomla 及眾多企業內部系統與 Web API 的底層核心,且多數虛擬主機採用同一 IP 託管數十至數百個網站的架構,實際曝險的網站與服務數量預計遠高於主機統計數字。

資安專家建議,各企業與網站營運團隊應在修補程式生效前後立即採取以下防禦步驟:

■立即清查伺服器、內部系統及邊緣網絡設備中所有 PHP 執行點,包括執行模式(PHP-FPM、mod_php、php-cgi)與具體版本號。

■對於使用 PHP 8.1 或更早版本的伺服器,由於缺乏官方修補,應立即規劃升級至 8.2 以上受支援分支;若短期內無法升級,應將服務置於內部網絡、搭配 VPN 或 IP 白名單存取,並考慮導入 WAF 阻擋異常請求。

■RCE 漏洞成功利用的表徵,通常是 PHP 背景程式異常衍生出子行程。防守方應密切監控 php-fpm、php-cgi 或網頁伺服器(Apache / Nginx)是否異常啟動系統 Shell(如 sh、bash、cmd.exe、powershell.exe)、下載工具(如 curl、wget、certutil.exe)或執行高風險偵察指令(如 whoami、id、uname)。 

2026年10月21日 星期三