數百項服務仍待恢復
日本因應兩項嚴重 PHP 資安漏洞，至少造成 1,090 個網站及線上服務受影響；截至 2026 年 10 月 26 日，仍有數百項服務未公告重新開放。受影響範圍涵蓋網路購物、金融帳戶業務、托育服務及遊戲。業者在安裝修補程式並確認系統能否安全重新連線期間，這些服務持續中斷。
目錄
東京的雲端服務資安評估資訊業者 Assured 統計，截至 10 月 26 日下午 3 時，共有 1,090 項服務暫停。該公司主要根據服務官方 X 帳號發布的停機公告進行分析。這個數字高於 10 月 23 日下午 2 時的 502 項，短短約三天增加 588 項，增幅約 117%。
Assured 尚未確認其中 465 項服務已發布恢復營運公告，約占記錄在案停擺服務的 43%。這些數字是依公開公告統計，因此仍須向業者確認這 465 項服務的最新狀態。
萬代南夢宮控股預計，販售玩具及其他商品的網路商店將於 10 月 27 日中午重新開放；該商店自 10 月 21 日晚間起進行維護。包括《太鼓之達人》在內的街機遊戲線上連線仍暫停。大和證券部分網站功能已恢復，但截至 10 月 26 日下午 5 時，開設 NISA 投資帳戶的申請及變更地址等業務仍無法使用。
PHP2shell 漏洞的危害
日本資訊處理推進機構（IPA）在 10 月 22 日發布的PHP 資安警訊中，將這兩項漏洞列為 CVE-2026-109618 及 CVE-2026-109619。兩者合稱 PHP2shell。PHP 是許多網站及網頁應用程式使用的軟體，會在資訊傳送到使用者瀏覽器之前，於伺服器上處理相關工作。
CVE-2026-109618 涉及 PHP 記憶體耗盡時的錯誤處理；CVE-2026-109619 則涉及伺服器對請求的處理。攻擊者若利用這些漏洞，可能從遠端執行任意程式碼，也就是執行由攻擊者而非網站營運者選擇的指令。
日本電腦緊急應變中心（JPCERT/CC）表示，這些程式碼可能以 PHP 程序的權限執行。簡單來說，攻擊者可能取得執行網站軟體所允許操作的能力。實際影響範圍取決於受影響系統的權限及設定。
IPA 表示，組織應查閱所用產品的開發商或供應商發布的資訊，因為 PHP 可能是大型應用程式或服務的一部分。JPCERT/CC 也警告，透過軟體產品或 Linux 發行版提供的 PHP 可能受到影響，因此因應措施也須參考廠商指引。
服務停擺如何擴大
業者自 10 月 21 日起陸續將系統下線，當時安全更新尚未推出；更新約於日本時間晚間 11 時發布。部分業者在更新推出前就先行處置，因為弱點細節公開後，遭受攻擊的風險可能升高。
事件發展顯示，緊急軟體更新如何演變成數日的服務中斷：
- 10 月 21 日：BASE、Codmon、Pixiv、DMM.com、niconico 及櫻花網路的部分服務進入維護或暫停功能。《碧藍幻想》及《賽馬娘 Pretty Derby》等遊戲也一度停止服務。
- 10 月 21 日晚間 9 時 55 分：首相高市早苗呼籲緊急做好安裝修補程式的準備，並表示若無法立即安裝，暫時關閉網站也是一種選項。
- 10 月 21 日晚間約 11 時：PHP 安全更新發布。
- 10 月 22 日：IPA 與 JPCERT/CC 發布警訊，說明漏洞及建議因應方式。
- 10 月 23 日：Assured 統計的停擺服務達 502 項。PHP 開發人員也揭露另一項漏洞 CVE-2026-115560。
- 10 月 26 日：Assured 統計總數達 1,090 項；JPCERT/CC 更新警告，新增利用嘗試的通報資訊。
- 10 月 27 日中午：萬代南夢宮預計重新開放販售玩具及其他商品的網路商店。
為何關閉網站成為選項
日本國家網路安全辦公室建議，若業者無法及時安裝修補程式，暫時關閉網站可降低風險。高市早苗在 10 月 21 日的呼籲中也提及這項選項。歐盟網路安全應變小組（CERT-EU）及英國國家網路安全中心也呼籲採取行動，並表示在防護措施到位前，將系統下線可能是可行的因應方式。
IPA 的指引列出一系列處置選項。組織應先考慮採取臨時防護措施及限制存取，同時安排更新或移轉。若難以有效實施臨時措施，就應評估是否封鎖外部存取或暫停服務，並將可能造成的損害及業務中斷納入考量。
對客戶而言，這項決定意味著日常功能暫時無法使用，業者則趁此處理問題。購物網站可能停止接單，金融網站可能暫停帳戶業務，街機也可能無法連線使用線上功能。
負責 Assured 調查的鈴木康弘表示，業者愈來愈常選擇暫停服務以保護客戶資訊，而服務遲遲未能恢復，也反映安全重新開放並不容易。他的評估點出營運上的核心難題：關閉服務可以很快，但要恢復服務，必須先完成底層系統的相關工作。
安裝修補程式只是恢復服務的一環
萬代南夢宮的服務中斷情況說明，為何同一企業集團內的服務可能在不同時間恢復。集團預計 10 月 27 日重新開放商品商店，但街機遊戲連線仍暫停。用於安裝 PHP 修補程式的系統更新需要時間。
部分服務也在考慮暫時將資料移至另一家已確認安全的公司伺服器。這樣一來，服務會在團隊處理受影響環境期間改由其他地方運作，而在客戶能重新使用服務之前，還需要完成另一系列準備工作。
截至 10 月 26 日，大和證券已恢復網站部分功能，包括常見問題，但帳戶申請及地址變更仍無法使用。也就是說，資訊頁面雖可正常瀏覽，客戶業務仍受到中斷。
IPA 說明，長期未更新的系統可能需要修改應用程式碼，並在 PHP 更新後確認各項功能仍能正常運作。缺少開發文件、沒有熟悉系統的員工，以及維護合約到期，都可能增加處理難度。JPCERT/CC 建議充分測試後，儘速安裝修正版本。
哪些版本需要留意？
IPA 與 JPCERT/CC 指出，針對最初兩項漏洞，已有四個修正版本推出：PHP 8.2.35、8.3.36、8.4.27 及 8.5.12。各分支中早於這些版本的版本均受影響。業者須確認系統使用的 PHP 分支，選擇對應修正，並查閱軟體或作業系統供應商的指引。
較舊的安裝版本還有其他問題。IPA 引述資安公司 Wiz 的調查指出，PHP 5.4 以後的版本至少受到兩項漏洞之一影響。PHP 8.1 及更早版本已停止支援，不再享有支援版本所提供的例行維護。
IPA 建議改用仍受支援的 PHP 版本，或改用已具備防護措施的產品與服務；若沒有可用修補程式，尤其應採取這些做法。JPCERT/CC 補充，由於漏洞嚴重，PHP 開發人員已為 PHP 7.4、8.0 及 8.1 提供有限的緩解措施。
臨時緩解措施可降低特定攻擊途徑帶來的風險。JPCERT/CC 表示，更新才是修正原始漏洞的根本方法，因此即使組織採用臨時設定，仍須規劃系統更新或移轉。
攻擊嘗試增添急迫性
JPCERT/CC 於 10 月 26 日更新PHP 漏洞警訊時表示，已有大量聲稱能利用這些漏洞的示範程式碼出現。該機構也提到，多次接獲試圖利用漏洞的網路流量通報。
這些程式碼能否成功，取決於 PHP 版本、執行環境及記憶體中的資料配置等因素。JPCERT/CC 警告，可能還會出現其他攻擊方法，以及針對特定環境的攻擊技術，並建議組織更新系統，同時調查是否已遭入侵。
調查指引包括檢查異常冗長或格式古怪的 PHPSESSID Cookie。這類 Cookie 用來保存識別瀏覽器工作階段的資訊。其他警訊還包括使用 multipart/form-data 格式的可疑請求；這種格式常用於檔案上傳，尤其應留意其是否出現在記憶體用量限制錯誤或代表伺服器發生問題的 HTTP 500 錯誤附近。
PHP 工作程序意外當機或頻繁重新啟動，也是需要調查的跡象。工作程序負責處理傳入的工作。JPCERT/CC 也建議檢查可疑程序、對外連線及新建立的檔案，並持續監控系統。若懷疑遭到入侵，該機構建議保存日誌及其他證據、調查受影響範圍，並視需要隔離系統。
第三項漏洞須變更設定
PHP 開發人員於 10 月 23 日揭露 CVE-2026-115560，讓因應工作再添一項。JPCERT/CC 表示，在特定設定與應用程式碼組合下，這項漏洞可能導致任意程式碼執行。
開發人員表示，受影響的設定並不常見，並計畫依照一般發布週期推出修正版本。在此之前，JPCERT/CC 轉述建議，將 session.upload_progress.enabled=0，並重新啟動所有工作程序。該機構 10 月 26 日的更新未提供修正版本的發布日期。
此前，這項設定也已被建議用於緩解 CVE-2026-109619。根據警訊，已套用該設定的業者不必重複進行這項設定變更。團隊檢查系統時，仍須同時處理最初兩項漏洞及這項新增問題。
部分組織面臨更大的抉擇
IPA 的建議不只著眼於立即修復，也要求組織檢視系統目前的用途、使用頻率，以及是否有其他服務可以取代。對長期未維護的軟體而言，恢復服務也可能意味著必須決定日後由誰負責支援。
IPA 表示，業務主管及高階主管應與技術人員共同評估，是否具備更新或移轉所需的人力、預算及維護安排，以及持續營運的能力。若能提供這些支援，該機構建議進行更新，或改用有防護措施的服務。
若無法安排持續維護，IPA 列出其他選項：改用有支援的產品、減少功能、停止對外開放，或淘汰系統。該機構也呼籲擬定計畫，保存或移轉必要資料，並向使用者說明替代安排。
眼前的實務挑戰，從安裝特定 PHP 版本的修正，到逐項恢復客戶功能，範圍相當廣泛。萬代南夢宮預計重新開放商店，提供了一個預定的復原時程；而 Assured 統計中有 465 項服務尚未確認發布重新開放公告，則顯示截至 10 月 26 日，仍有許多服務的公開狀態有待確認。
重點整理
- 截至 10 月 26 日下午 3 時，Assured 統計日本有 1,090 項服務暫停，高於 10 月 23 日的 502 項。
- 465 項服務尚未確認發布重新開放公告，約占總數 43%。
- PHP2shell 漏洞可能讓遠端攻擊者以 PHP 程序的權限執行程式碼。
- 針對最初兩項漏洞推出的修正版本為 PHP 8.2.35、8.3.36、8.4.27 及 8.5.12。
- JPCERT/CC 警告，已有示範程式碼公開，並接獲利用漏洞的嘗試通報。
- 第三項漏洞須暫時變更設定，並在修正版本推出前重新啟動所有工作程序。
- 萬代南夢宮預計於 10 月 27 日中午重新開放商品商店；截至 10 月 26 日，部分街機連線及大和證券業務仍暫停。
