十月第四週安全更新

2026 年 10 月 22 日｜由 JACKZAI 整理

本週有四套常用的網站軟件公布了嚴重漏洞。

最壞情況下，攻擊者毋須登入，就可以接管整個網站伺服器。

日本首相高市早苗 10 月 21 日晚親自在 X 上呼籲企業立即檢查。

最壞情況會怎樣

伺服器被接管

攻擊者可以在伺服器上執行任何指令，權限等同你們的系統管理員。

客戶資料全部被取走

會員名單、電話、地址、訂單和登入密碼都可能外洩。伺服器上的系統密鑰被偷，攻擊者還能進入相連的其他系統。

網站和 App 停頓

客人不能瀏覽和下單，要等到清理完畢才能恢復。停頓的每一天都是營業損失。

事後的責任

要逐一通知受影響的客人，可能被私隱專員公署調查，也可能上新聞。被放入勒索程式的話，還要面對贖金要求。

為甚麼這次特別急

PHP 漏洞的細節在 10 月 20 日、官方修補前已經外洩。
Cloudflare 已看到針對這個漏洞的攻擊流量，攻擊已經開始。
日本首相高市早苗在 X 上要求所有公開 PHP 網站的企業立即檢查，盡快套用修補。她指出，未能及時修補的話，暫停網站也是有效的做法。
日本部分政府網站和集英社等企業已經暫停官方網站，先修補再重開。
美國 CISA 和英國 NCSC 都要求企業立即修補。CISA 更建議，未能修補的舊系統先下線。
PHP 用在全球大量網站和管理後台，攻擊者會一次過掃描所有網站，不會只挑大公司。

五項漏洞，各用一句說明

軟件	用來做甚麼	最壞情況	嚴重程度
PHP	網站和管理後台的程式語言	接管伺服器，取走全部資料	嚴重
Next.js	網站前台	網站停止回應；特定設定下伺服器可被接管	嚴重
Node.js	網站和 App 背後的運行環境	特定情況下可被接管；連接付款、物流等外部服務時可被冒充	高
nginx	網站入口伺服器	網站當機；送進網站的內容可被篡改	中至嚴重
Chrome、Windows	員工電腦	員工打開一個網頁就可能中招	嚴重

請你今天做三件事

把這份報告轉給 IT 或網站供應商，要求本週內完成升級。
要求他們書面回覆：升級了哪些系統、升級前後的版本、完成時間。
請他們檢查 10 月 20 日以來有沒有異常登入或陌生檔案；未能升級的舊系統，先暫停對外。

給 IT 同事：技術細節

以下是升級所需的版本和條件。

嚴重 9.2

PHP：PHP2Shell

CVE-2026-109618、CVE-2026-109619｜10 月 21 日修補

影響：PHP 5.4 至 8.5.11 處理網頁請求的服務，例如 PHP-FPM、Apache mod_php 和 php-cgi。官方公告同時點名 FrankenPHP 和 LiteSpeed。
修正版：8.5.12、8.4.27、8.3.36、8.2.35。8.1 或更舊的版本沒有官方修正。
要做：升級後重啟 Apache、PHP-FPM 和常駐的 PHP 程序，否則舊程式仍在執行。暫時未能升級的舊版本，先在 php.ini 設 session.upload_progress.enabled = Off，這只能擋住部分攻擊。
檢查入侵：留意 php-fpm、httpd、apache2 程序啟動 sh、bash、curl、wget 等程式，以及網站目錄的新檔案和新排程。

嚴重

Next.js：三個漏洞

10 月 14 日修補

Server Actions 阻斷服務（GHSA-p3m5-59mp-jv5r，高，8.2 分）：13.x 至 16.4.0 都受影響。條件是網站用 App Router，並至少有一個 Server Action。除了升級，沒有其他解決方法。
SVG 圖片處理遠端執行（CVE-2026-96889，嚴重）：在 glibc Linux 上用 sharp 處理不受信任的 SVG。
use cache 遠端執行（GHSA-673q-mjm6-r5xr，嚴重）：16.x 使用 Cache Components 的網站。
修正版：15.5.28、16.4.1。官方公告沒有列出 13.x 和 14.x 的修正版，仍在用這兩個版本的網站要升級到 15.5.28 或以上。

高

Node.js：十個漏洞

10 月 21 日修補

最嚴重的是 Brotli 解壓越界寫入，可遠端執行程式（CVE-2026-111497）。
TLS 主機名稱驗證可以被繞過（CVE-2026-105483、CVE-2026-106069）。
修正版：22.23.4、24.22.1、26.12.1。已停止支援的版本一律受影響。

中至嚴重

nginx：六個記憶體漏洞

CVE-2026-15176、CVE-2026-93479、CVE-2026-95101 等

涉及 alias 加 rewrite、變數腳本和 HTTP/3，另有 TLS session ticket（預設開啟）和 aio。nginx 官方評為中等，Health-ISAC 把其中三個列為 9.2 分。
受影響：1.30.0 至 1.30.5，以及 1.31.6 或更舊的 mainline。
修正版：1.30.6、1.31.7。

員工電腦

Chrome 和 Windows

Chrome 156（10 月 20 日）修補 353 個漏洞，其中 6 個嚴重。到「設定 → 關於 Chrome」更新，再重開瀏覽器。
Windows 10 月更新（10 月 13 日）包括一個已被利用的漏洞 CVE-2026-96951。請確認 Windows Update 已安裝並重啟。

版本對照

元件	受影響	修正版	檢查方法
PHP	5.4 – 8.5.11	8.2.35／8.3.36／8.4.27／8.5.12	`php -v`
Next.js	13.0 – 16.4.0	15.5.28／16.4.1	`npm ls next`
Node.js	22.x、24.x、26.x 舊版	22.23.4／24.22.1／26.12.1	`node -v`
nginx	1.30.0 – 1.30.5、≤ 1.31.6	1.30.6／1.31.7	`nginx -v`
Chrome	156 之前	156	設定 → 關於 Chrome

如果有用 Argo CD：10 月 7 日的修補處理了四個 9.9 分漏洞，修正版是 3.5.4。這一項來自第三方報道，升級前請以 Argo CD 官方公告核對。