【资讯安全紧急通报】PHP、Node.js和Go

【明慧网二零二六年十月二十七日】（明慧记者综合报道）今年十月二十一日起，全球PHP、Node.js与Go执行环境重大漏洞联合警报。这是AI算力和应用爆发以来首次出现的重大全球资讯安全危机。

一、核心摘要

十月二十一日（上周三）起，全球资安机构与各大语言官方（PHP、Node.js）同步发布了针对底层执行环境（Runtime）的重大安全公告。这些漏洞允许未经授权的远端攻击者执行任意程式码（RCE）或引发阻断服务（DoS）。

由于漏洞存在于语言核心或内建函式库中，仅更新前端应用程式或套件（如WordPress外挂、npm套件）无法解决问题，必须直接升级系统执行环境。

二、三大技术栈漏洞简述

1. PHP：「PHP2Shell」
- 远端执行漏洞：影响代号：CVE-2026-109618、CVE-2026-109619（CVSS 评分 9.2，极高风险）
- 漏洞本质：底层记忆体管理与全域状态处理瑕疵。当系统发生记忆体不足（OOM）或请求切换时，可能导致记忆体损坏或重复使用残留状态。
影响范围：所有未修补的PHP网站与伺服器（*攻击者不需任何权限即可发起攻击）。

2. Node.js：
Brotli解码器与网路安全漏洞影响代号：包含CVE-2026-111497（Brotli记忆体越界写入）及多项TLS/DNS验证漏洞。
- 漏洞本质：<.b>内建的Brotli压缩资料解码器存在记忆体越界写入缺陷；同时存在凭证与主机名称验证绕过风险。
- 影响范围：<.b>处理未受信任的Brotli压缩资料、对外网路连线及Proxy伺服器的Node.js服务。

3. Go语言与相关框架安全注意
- 漏洞本质：相关网路协定、标准库或主流开源框架（如部分HTTP代理、网管介面）近期陆续爆发安全性修复。
- 影响范围：使用特定版本Go模组或依赖项目的云端原生服务。

三、资安紧急呼吁

- 跳过依赖检查迷思：传统的套件相依性检查（如package.json或composer.json扫描）无法检测出执行环境本身的漏洞，必须清点伺服器与容器内实际运行的Runtime版本。

- 拒绝未支援版本：已终止支援（EOL）的旧版本（如旧版PHP或Node.js 20 以下）将不会获得官方修补程式，必须进行大版本升级或隔离。

四、技术团队紧急行动建议（最低技术支援排查步骤）

若在资源有限或技术支援不足的情况下，请依序执行以下三个步骤：

步骤 1：资产快速清点（查版本）请登入伺服器或容器，确认当前运行的执行环境版本是否落在危险区间：

- PHP：检查是否小于安全版本（见下方安全目标）。注意：部分 Linux 发行版会回溯修补程式（Backport），版号可能维持旧版但已修复，请核对官方布告栏或套件日志。

- Node.js：检查是否使用受影响的22.x、24.x或26.x 漏洞版本。

步骤 2：立即套用版本升级

请将环境升级至以下对应的安全版本，并重新启动服务进程（如PHP-FPM、Node应用程式）以清除残留记忆体：

- PHP安全目标版本：
PHP8.5系列=>升级至 8.5.12 (或更新)
PHP8.4系列==>升级至 8.4.27(或更新)
PHP8.3系列==>升级至 8.3.36(或更新)
PHP8.2系列==>升级至 8.2.35(或更新)