回上層
Disp BBS
看板 C_Chat
作者 BPME (窩顆顆)
標題 [閒聊] php重大漏洞 大量網站關站因應
時間 Wed Oct 21 17:29:16 2026

https://x.com/expokun/status/2112795132374495687

https://x.com/expokun/status/2112836234125226247

php重大漏洞，團隊將與晚上10點發布補丁

因為只有8.2以上版本可以由官方修補

大量網站必須手動修補

而駭客當然也盯上這個瞬間，補丁發布的瞬間就會直接用AI分析漏洞在哪，借此發動攻擊

大量網站已關閉或將於補丁發布前暫時關閉


包含同人誌販售網站pictSPACE，動漫創作者網站Xfolio還有rule34都關站因應

我們普通人記得緊盯相關新聞，如有需要記得修改密碼

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.12.158.14 (臺灣)
※ 作者: BPME 2026-10-21 17:29:16
※ 文章代碼(AID): #1gs8Nnh8 (C_Chat)
※ 文章網址: https://www.ptt.cc/bbs/C_Chat/M.1792574961.A.AC8.html
※ 同主題文章:
[閒聊] php重大漏洞 大量網站關站因應
10-21 17:29 BPME.
Re: [閒聊] php重大漏洞 大量網站關站因應
10-21 23:01 Sinreigensou.
推 smallreader: 6202了還有php網頁1F 10/21 17:31
→ qwer338859: 世界最好的語言2F 10/21 17:31
→ rrskch: 成為輕小說家吧跟碧藍農場也暫時關了3F 10/21 17:31
推 qk3380888: 這兩個月日本超多網站被駭 黑市都賣不掉了4F 10/21 17:31
→ BPME: 網路上70%的網站是用php5F 10/21 17:32
→ super0949: svwb也是要修這個6F 10/21 17:32
→ dreamnook2: (′・ω・‵)大家懶的換的古董技術7F 10/21 17:32
推 starsheep013: 不只有，還超多的8F 10/21 17:33
推 easyfish: 出大事9F 10/21 17:34
推 jacksnowman: GBF也要修了10F 10/21 17:34
→ sinnerck1: 原來最近被駭是因為這個11F 10/21 17:35
推 jeff666: 還能動就不要動12F 10/21 17:35
→ mose56789: php很多吧13F 10/21 17:36
推 aboutak47: svwb修有送也 gbf呢14F 10/21 17:36
推 sd2567: php網路上一坨都是啊15F 10/21 17:36
→ BPME: 跟最近被駭應該無關，目前沒人知道漏洞是什麼，只知道很嚴重，補丁發布相當於公布答案，那一個瞬間沒做出因應的網站都會被駭客攻擊16F 10/21 17:36
→ sezna: 沒問題就別動啊19F 10/21 17:41
推 shadow0326: 有些網站真的很G8 什麼註冊要留全名的 信用卡不能刪的20F 10/21 17:41
→ xga00mex: 靠北 老網站php都不敢更新吧== 我不想加班啊21F 10/21 17:43
推 kctrl: 你不更新才死更快 因為patch一上等於公布答案要怎麼破解22F 10/21 17:43
推 BDroach: 能動就別動，動了就出大事23F 10/21 17:44
→ kctrl: 你不更新的通通都能簡單被駭客攻破24F 10/21 17:44
推 ben2227486: 超級IT鬼故事25F 10/21 17:44
推 sd2567: 不更新就是直接關站了26F 10/21 17:44
→ shadow0326: 有些想更新還沒得更新的 沒升到php8的一堆27F 10/21 17:44
→ sd2567: 沒有人會不更新的28F 10/21 17:44
→ kctrl: 這是AI時代的特色風味29F 10/21 17:44
推 fman: AI時代官方都公布漏洞了還敢不更新，就等著被攻破而已，不想30F 10/21 17:45
→ tsunamimk2: 這種東西nmap一掃全現形啦31F 10/21 17:45
→ fman: 更新又不想不被攻破，就先把網站離線吧32F 10/21 17:45
推 BDroach: 有些是內部站台啊，能不動就不動33F 10/21 17:45
→ tsunamimk2: 日本特別嚴重 一堆wordpress based的34F 10/21 17:46
→ linzero: 小說家連不上是因這個關閉嗎？35F 10/21 17:46
推 RINPE: 可是老闆這半年沒加薪36F 10/21 17:46
→ killme323: 用wordpress基本上就是吃屎 ..37F 10/21 17:46
→ tsunamimk2: 因為連laravel都不肯用的一堆啊
然後wordpress一上去一堆plugin就死38F 10/21 17:47
推 showwhat2: Laravel也有PHP的樣子？我印象中不知道為什麼後面PHP變大宗，只是有一些好的框架去改善這個問題。40F 10/21 17:48
→ killme323: laravel就php最新的好框架(說新也是出挺久了42F 10/21 17:49
→ tsunamimk2: 那種直接在hook中間魔改造的 用的php語法早就廢了43F 10/21 17:49
→ showwhat2: 我小學跟我學網頁的對手當初是用ASP，我那時候還在用44F 10/21 17:49
→ tsunamimk2: laravel就是php based的RoR like框架啊45F 10/21 17:49
→ showwhat2: CGI裡面的，好像現在也沒CGI了。46F 10/21 17:50
→ tsunamimk2: 但因為完全不是寫php的邏輯 很多人不想用47F 10/21 17:50
→ killme323: 現在去新用過 以前那堆php framework基本都淘汰光了
laravel很多東西太方便48F 10/21 17:50
→ showwhat2: 謝謝樓上們解釋，我也只是喜歡所以有學一些。@@50F 10/21 17:50
→ tsunamimk2: 因為要老老實實寫MVC很多php的老手很抗拒
所以就wordpress撐著 什麼都post_name post_data
json自幹 css自幹 就這麼堆著用
但這次爆炸太大 沒救了51F 10/21 17:50
推 sd2567: 日本一堆白痴.json .css55F 10/21 17:52
→ xga00mex: kkkkk56F 10/21 17:52
→ tsunamimk2: 其實laravel一堆人也沒升上php857F 10/21 17:52
→ killme323: wordpress真的不行啦 木馬直接鑽你家58F 10/21 17:52
→ tsunamimk2: 不過我已經dotnet/spring很久很久啦
都快忘光那些東西了59F 10/21 17:52
→ xga00mex: 不小心發出去 ==61F 10/21 17:52
→ tsunamimk2: wordpress那架構不做sql injection/php injection62F 10/21 17:53
推 shadow0326: 還有用PHP5的呢 嘻嘻63F 10/21 17:53
→ tsunamimk2: 都對不起自己 弱點掃描根本不可能過64F 10/21 17:53
→ killme323: .net最早就純拉webform pageload那個 簡單是簡單65F 10/21 17:53
推 BDroach: 日本業界那麼可怕喔==66F 10/21 17:54
→ tsunamimk2: 不是 我是說dotnet core67F 10/21 17:54
→ killme323: 後面進化好的mvc還行68F 10/21 17:54
→ tsunamimk2: 那與java/springboot是商業網站的基本69F 10/21 17:54
→ killme323: 但我以前用過dotnet轉型mvc過程中那段 頗痛苦70F 10/21 17:54
→ tsunamimk2: 前後端分離也是基本了71F 10/21 17:54
推 sinnerck1: 現在有AI 要升級很快了72F 10/21 17:54
→ tsunamimk2: 因為不能寫mvc73F 10/21 17:54
→ BDroach: .net現在也都是分離了74F 10/21 17:55
→ tsunamimk2: 基本上都是restful+SPA前端75F 10/21 17:55
→ BDroach: 不過也是有一堆web form換不掉的76F 10/21 17:55
→ killme323: 大部分都是 但如果你是自己一人同時做 有一些配套77F 10/21 17:55
→ tsunamimk2: python based的也是
webform現在弱掃也不會過...78F 10/21 17:56
→ killme323: laravel有個Livewire 但你用下去要拆就很麻煩了80F 10/21 17:56
→ tsunamimk2: 一堆CSP條件, 新的browser支援,81F 10/21 17:56
→ killme323: 他是前後端參數黏在一起的 用了就沒辦法接api
自己做小型專案的話是可以用82F 10/21 17:57
→ tsunamimk2: 然後後端容器microservices架構也是基本了
特別是AI時代 這種網站大概都是十倍速度在上線84F 10/21 17:57
推 awenracious: 有些機關也還有php86F 10/21 17:58
→ x90050: 老闆不加錢不加人力,東西能動就好,這種問題全世界都有吧87F 10/21 17:58
推 bobby4755: 個人網站跟部落格不知道還能撐多久88F 10/21 17:58
→ tsunamimk2: 個人網站用python+django改寫沒難度啊
甚至不用AI89F 10/21 17:59
推 Echobee: 跟銀行業一樣，早該換了但承擔不了換的風險，只好繼續用91F 10/21 17:59
→ tsunamimk2: blog的框架也一堆現成的
與銀行差多啦 銀行是系統太巨大了92F 10/21 17:59
推 rockmanalpha: 什麼還有PHP網頁 你知道wordpress站有多少嗎94F 10/21 18:00
→ tsunamimk2: 這種個人小網站純粹懶而已95F 10/21 18:00
推 BDroach: 銀行是不敢換96F 10/21 18:00
→ killme323: 你要要求[一個人]做一個購物網站含金流購物上架
就是吃wordpress那種大便啊97F 10/21 18:00
推 nakibasara: 小說家擋國外IP了，掛日本VPN還能上99F 10/21 18:01
→ x90050: 用AI處理的確很快,問題是老闆連token費用也不願意花100F 10/21 18:01
→ BDroach: 之前有參與過金融業的案子打雜，有夠恐怖101F 10/21 18:01
→ killme323: 銀行那邊太恐怖 根本不敢換102F 10/21 18:02
→ x90050: 小公司IT常常都嘛在上演這種鬼故事103F 10/21 18:03
推 rockmanalpha: 因為做管理介面真的很累 沒團隊沒財力就是無腦wp
wix那些
直接不用管後端 爆了就爆了104F 10/21 18:04
推 bobby4755: 個人站大多是舊時代的產物 現在也不太可能特地去修漏洞 被爆破就應該直接讓他去了107F 10/21 18:07
推 avans: 其實還能警覺要關站應對也是不錯了109F 10/21 18:09
→ blackone979: 台灣也有一個商用平台被駭 最近一堆詐騙信收到手軟110F 10/21 18:11
→ BPME: 話說小說家發了一個公告，看起來應該是針對這次事件，但他只鎖國外ip，是覺得日本沒有駭客嗎==111F 10/21 18:13
推 dickec35: 鎖IP是脫褲子放屁的概念嗎？113F 10/21 18:17
推 abccbaandy: CY不是聽說技術力不錯，結果還是用PHP喔...114F 10/21 18:17
→ blackone979: GBF就幾百年前的網頁架構 沒人敢改115F 10/21 18:19
推 david31476: 程式能不動就不動業界都知道的嗎，能跑當然不換116F 10/21 18:19
推 buke: 不是多用Laraval嗎？117F 10/21 18:20
推 laigeorge89: http://i.imgur.com/O0M9HlA.jpg 欸不是，網站架構的問題改密碼真的有用嗎www118F 10/21 18:21
推 rockmanalpha: 沒聽過屎山代碼嗎 做新的都比動舊的方便120F 10/21 18:21
推 vincent8914: 現在fb也是php121F 10/21 18:21
→ buke: FB的php是魔改過的122F 10/21 18:22
→ MikageSayo: 然後小說家昨天還有一個注意詐騙信的公告123F 10/21 18:22
→ rockmanalpha: Laravel你還得自己開發 wordpress一堆托管網站上去124F 10/21 18:22
推 sd2567: 技術這種東西有慣性 要改很難125F 10/21 18:22
→ kctrl: 鎖ip是因為真的有用啊 日本分析這波攻擊大半都海外來的126F 10/21 18:22
推 beloud: 最好的程式語言127F 10/21 18:22
→ rockmanalpha: 點幾下就有了 裝越多Plugin風險越高128F 10/21 18:23
→ kctrl: 他先把最大波的擋住，剩下只要處理國內小部分就好129F 10/21 18:23
推 sa7a1220: 寶可夢HOME突然維修，不知道是不是這原因130F 10/21 18:23
推 tzouandy2818: Wordpress就是化糞池級屎山 管得住官方 也管不住插件131F 10/21 18:23
→ kctrl: 改密碼是叫你不要一個密碼用遍全世界引起連鎖爆炸133F 10/21 18:24
推 buke: admin/admin134F 10/21 18:24
推 ruby080808: 為啥會覺得是脫褲子放屁==這不是很常見的行動之一嗎==這東西主要就開起來很快，可以簡單先去掉一部分來自外國的攻擊，可以有更多的處理時間135F 10/21 18:25
推 RINPE: 我已經期待明天大爆炸了XD138F 10/21 18:26
→ killme323: fb的php幾乎都他們自己用原生寫的139F 10/21 18:27
推 kctrl: 我自己的習慣是我覺得有風險的網站或地區我會隨便設個爛
密碼擺爛 反正要偷給你偷 但跟金錢有關的所有網站都另外設140F 10/21 18:27
→ zainc: 難怪FB前幾天通知我更新帳號，不知道有沒有相關~142F 10/21 18:28
→ kctrl: 事實證明是真的有用 多次遇到洩漏 連google都說我密碼有風143F 10/21 18:29
推 laigeorge89: (′・ω・‵)喔對吼144F 10/21 18:29
→ kctrl: 險(擺爛讓偷的那個)145F 10/21 18:29
推 rockmanalpha: wordpress特別危險在於plugin大多不是官方寫的
很容易吃XSS/CSRF套餐146F 10/21 18:31
推 buke: 8.2之前的沒官方patch，都要更版了148F 10/21 18:33
→ rockmanalpha: sql也是土法煉鋼直接sql injection就接管了149F 10/21 18:34
推 Shinn826: 原本這漏洞是22號才要被公開的，現在是提早被洩露確認150F 10/21 18:34
→ rockmanalpha: 不過看了下這漏洞是發生在程式運行之前 那程式寫得再安全也沒用啊 是PHP核心爆了..
那麼問題來了 就算Patch出來 但PHP8以下官方一概不維護 你要那些十多年的甚至還有在用PHP5的怎麼升級基本就等他爆，關站或者等神人救際了151F 10/21 18:41
推 RDcat: 用魔法打你的魔法，就是這種感覺156F 10/21 18:48
→ Echobee: 當然是跟駭客一樣一起拿ai分析（157F 10/21 18:48
→ inte629l: 提早被洩漏也太猛158F 10/21 18:49
→ ringil: ptt都還在用 就知道為什麼php還會有人用了 好用懶得換啊159F 10/21 18:50
推 kctrl: 因為他這漏洞就底層問題 跟你防護做多好沒關係
從說明來看 他能直接繞過所有防禦取得最高權限要怎樣就怎樣所以管你是官方還是只是使用開源php code的網站只要駭客想隨便都能像逛客廳一樣逛你伺服器內部160F 10/21 18:50
→ willy1215: 有些web-base提供操作的系統也用php架構164F 10/21 19:28
推 ainamk: 小說家 pixiv dlsite 角川 秋田 目前看到有反應的
然後很搞笑的是小說家的維修公告被封的IP看不到XD165F 10/21 19:37
→ xo1100: 該發新案子做系統了別再撐了
或者叫AI尻個系統出來還安全得多167F 10/21 19:45
→ WWIII: Php真的爛語言169F 10/21 19:54
推 hugi147: session.upload_progress.enabled = Off170F 10/21 19:55
→ WWIII: Wordpress 大廈要倒倒塌了嗎171F 10/21 21:03
推 skyrain1234: 碰過以前公司留下來的老php那堆屎山代碼基本上要升級只能砍掉重練172F 10/21 21:16

--