防暴筆記BREACH NOTES
新聞稿拆解

「資安界的颱風季」：當數發部長把 AI 模型獵漏洞寫進臉書

防暴筆記編輯部
新聞稿拆解

公視報導 PHP 漏洞影響全球 7 成網站，數發部長林宜敬在颱風過後發文，把近期漏洞潮歸因於 AI 模型主動掃描。證據等級是關鍵：官方確認的是漏洞本身，AI 獵漏洞是作者推論。

30 秒看懂
  • 公視 10 月 22 日報導 PHP 核心兩項重大漏洞（CVE-2026-109618、CVE-2026-109619），全球近 7 成網站受影響。OpenAI 表示其 AI 模型協助研究人員發現漏洞；多國政府網站預防性下架；數發部資安署已通知政府機關及企業修補。
  • 數發部長林宜敬 10 月 24 日（推定）在臉書發文，將薔琵颱風與「資安颱風」並陳，推測近期 PHP、Node.js、Go、GitLab、Python 的漏洞「極可能」是 AI 模型主動掃描發現，部分修補「據悉」有 AI 協助。呼籲體諒資安從業人員：「超級英雄不一定會穿著披風，他們之中有些是拿著鍵盤跟滑鼠的。」
  • 證據等級差異：PHP 漏洞本身與 OpenAI 聲明可證明；AI 模型大規模獵漏洞、Project Glasswing、Claude Mythos 在本案的角色，目前只有作者推論與媒體轉述，無官方確認。這是政策溝通與技術判斷的界線。

颱風過後，部長在臉書上寫了另一場颱風

2026 年 10 月 24 日（推定），數位發展部部長林宜敬在個人臉書發文，標題是「資安界的颱風季」。開頭第一段把薔琵颱風和「資安颱風」並陳：「一方面，我們必須面對來自太平洋的薔琵颱風，另一方面，我們必須面對來自虛擬世界的資安颱風。」

他列舉了 PHP、Node.js、Go、GitLab、Python 等主流程式語言與執行環境接連爆出重大漏洞，台灣所有資訊人員都在不眠不休地「上補丁」。貼文附的圖片是公視新聞網的手機版截圖，標題是「PHP資安漏洞影響全球7成網站 可能造成風險、原因一次看」。

這篇拆解要做的，是把一篇政策溝通文件讀到證據能支撐的最後一句——哪些有官方來源、哪些是作者推論、哪些只能標缺口。原始貼文在林宜敬的 Facebook（完整文字由知新聞轉述）；公視報導在這裡（第一手）；知新聞報導在這裡。文末「來源」區有完整清單。

林宜敬臉書貼文重點（經知新聞轉述，2026-10-25）READ-ONLY
【資安界的颱風季】

一、薔琵颱風 vs. 資安颱風
PHP、Node.js、Go、GitLab、Python 接連爆出重大資安漏洞，
台灣所有資訊人員都必須不眠不休加班「上補丁」。

二、AI 模型的角色（作者推論）
今年 4 月 Anthropic 宣布 Claude Mythos，能在主要作業系統、瀏覽器
找出數千個 Critical 漏洞並自動串成「擊殺鏈」。
OpenAI、Google、Microsoft 也有類似模型。

業者啟動「Project Glasswing」：暫緩公開頂級資安模型，
優先提供給 OS/瀏覽器供應商、金融機構、開源組織、資安廠商先掃描修補。

三、近期漏洞「極可能」是 AI 模型主動掃描發現
部分修補「據悉」有 AI 協助。
AI 從威脅轉為防禦工具，但加速攻防節奏。

四、台灣的應對
資安署與資安院已透過 TWCERT/CC、N-ISAC 發警訊。
警訊公開時駭客也同步得知，並以 AI/自動化掃描未更新系統。

五、呼籲
體諒出現焦慮症狀的資訊/資安從業家人朋友：
「超級英雄不一定會穿著披風，他們之中有些是拿著鍵盤跟滑鼠的……
現在正在忙著拯救這個世界。」

把三份文件的時間排開，會發現證據等級是逐層堆疊的。

  1. 2026-10-21
    PHP 官方釋出 8.5.12、8.4.27、8.3.36、8.2.35，修補兩個 CVSS v4.0 9.2 的遠端程式碼執行漏洞（CVE-2026-109618、CVE-2026-109619）
    PHP 官方公告與 GitHub security advisories
  2. 2026-10-21
    OpenAI 表示其 AI 模型協助研究人員發現 PHP 漏洞；荷蘭、比利時政府及 BBC 等緊急下架網站；日本首相高市早苗發文示警
    公視新聞網 2026-10-22 報導引述
  3. 2026-10-22 14:47
    公視新聞網報導：PHP 兩項重大漏洞影響全球近 7 成網站，多國網站預防性下架，數發部資安署已通知政府機關及企業修補，截至 10-22 上午未接獲台灣網站受害
    公視新聞網報導（第一手）
  4. 2026-10-22
    日本 IPA 發布警示、CERT-EU 發布公告；Cloudflare 技術長稱已觀察到初步攻擊並持續更新緩解措施
    公視報導引述、IPA 官網
  5. 2026-10-24（推定）
    林宜敬在薔琵颱風過後於臉書發文【資安界的颱風季】，推測近期多項漏洞「極可能」是 AI 模型主動掃描發現，呼籲體諒資安從業人員
    知新聞 2026-10-25 報導稱「昨在颱風過後透過臉書發文」；Facebook og:url 確認為 yijing1 帳號
  6. 2026-10-25 08:30
    知新聞報導林宜敬貼文內容，轉述其對 Claude Mythos、Project Glasswing、AI 協助修補的說法
    知新聞報導（記者蕭文康／克里夫）
  7. Claude Mythos、Project Glasswing 的實際狀態
    作者在貼文中提及，但本站查無 Anthropic 官方公告或業界公開計畫可證實這些專案存在或其具體內容
  8. 本次 PHP 漏洞是否確由 AI 模型發現、其他語言漏洞的 AI 角色
    OpenAI 僅表示其 AI 模型協助研究人員發現 PHP 漏洞，未說明具體角色；其他語言（Node.js、Go、GitLab、Python）的漏洞來源在報導中未詳述

最關鍵的分界線在 10 月 24 日那一格：事實描述到這裡為止，從這裡開始是作者的推論與詮釋。

事實層：PHP 漏洞本身

公視 10 月 22 日的報導是第一手，它回答的是「發生了什麼」。全球近 7 成網站使用的 PHP，10 月 21 日被揭露兩項重大安全漏洞（CVE-2026-109618、CVE-2026-109619），統稱「PHP2Shell」；CVSS v4.0 評分 9.2，無須身分驗證即可遠端執行任意程式碼。多國政府網站緊急下架，PHP 官方同日晚間發布更新版本。

這些是事實層，來源都回得到公視報導與官方公告。接下來的層次就不同了。

推論層：AI 模型大規模獵漏洞

林宜敬貼文的核心推論是：近期 PHP、Node.js、Go、GitLab、Python 的漏洞「極可能」是這些組織用 AI 模型主動掃描發現的，部分修補「據悉」有 AI 協助。他提到今年 4 月 Anthropic 宣布 Claude Mythos，能在主要作業系統、瀏覽器找出數千個 Critical 漏洞並自動串成「擊殺鏈」；OpenAI、Google、Microsoft 也有類似模型；業者啟動「Project Glasswing」，暫緩公開頂級資安模型、優先提供給 OS／瀏覽器供應商、金融機構、開源組織、資安廠商先掃描修補。

這些說法在知新聞的報導中以「林宜敬表示」「他進一步指出」的形式轉述，屬於作者觀點。關鍵問題是：這些專案與機制是否存在、是否真的在本次事件中扮演角色？

推論不等於錯誤，但推論和事實要分開放。部長的身分讓他有機會接觸非公開資訊，他的推測可能基於內部溝通或產業分享；但在公開場合引用時，我們有責任標示證據等級——這不是質疑他的判斷，而是讓讀者知道哪些可以直接核對、哪些是推論鏈。

政策溝通層：「拿著鍵盤跟滑鼠的超級英雄」

林宜敬貼文的另一個層次是溝通語言。他把薔琵颱風和資安漏洞潮並陳，說影響與急迫性不亞於天災；他把資安警訊的時間壓力寫成「壞人正在跟時間賽跑，好人也必須跟時間賽跑」；他呼籲體諒出現焦慮症狀的資訊/資安從業人員：「超級英雄不一定會穿著披風，他們之中有些是拿著鍵盤跟滑鼠的……現在正在忙著拯救這個世界。」

這是政策溝通的語言，不是技術報告。它的目的是讓非技術讀者理解「這件事為什麼重要」「資安人員為什麼這麼忙」。從這個角度看，薔琵颱風的比喻是成功的——它把一個抽象的資安事件變成一個台灣讀者剛經歷過的具體經驗。

但政策溝通和技術判斷是兩種文體，混在一起就會出問題。當部長說「極可能」「據悉」時,讀者會以為這是官方判斷；當他提到 Claude Mythos 與 Project Glasswing 時，讀者會以為這些是已確認的專案。證據等級的標示不是為了挑錯，而是為了讓政策溝通保持可信度——當每一句話都標清楚是事實還是推論，讀者才能判斷該相信到什麼程度。

leaked credentials這次外洩了什麼：服務、用途、存在形式
服務憑證類型用途存在形式放在哪權限範圍狀態
全球近 7 成使用 PHP 的網站（若未更新）系統可用性風險：遠端程式碼執行漏洞網站後端程式語言CVE-2026-109618、CVE-2026-109619PHP 核心記憶體處理機制影響 PHP 5.4.0 以後所有版本，8.2 以上有官方修補，8.1 以下無官方修補版官方已釋出修補；資安署已通知台灣政府機關及企業
台灣對外 PHP 主機數量與版本分布不明評估受影響範圍——Shodan 統計顯示全球約 59% 回報版本的對外 PHP 主機跑 8.1 以下；台灣的主機數與占比未公開無公開統計
憑證本身已遮蔽或失效；這裡只說明它是哪個服務、拿來做什麼、以什麼形式存放，讓你能對照自己的環境。

這張表刻意簡化，因為這篇不是拆解 PHP 漏洞本身（本站另有專篇），而是拆解一篇政策溝通文件的證據結構。

如何避免：部長講的是形狀，你要做的是清單

林宜敬貼文的價值不在技術細節，而在溝通形狀：他把資安漏洞潮變成一個台灣讀者能懂的比喻（颱風），把資安人員的壓力變成一個社會能理解的處境（不眠不休上補丁），把政府的應對變成一個可執行的行動（資安署發警訊、請大家體諒）。

但形狀不能取代清單。對防守方來說，今天能做的不是討論 AI 模型會不會改變攻防節奏，而是把每台對外 PHP 主機列出來、查版本、排更新優先序。部長的文章給的是「為什麼要做」，執行手冊要自己寫。

lessons本案的 4 個教訓
  1. 01
    證據等級是政策溝通的關鍵：官方確認的是 PHP 漏洞本身與 OpenAI 聲明，AI 模型大規模獵漏洞與 Project Glasswing 目前只有作者推論，Claude Mythos 查無公開來源。標清楚，才能讓讀者判斷該相信到什麼程度。
  2. 02
    政策溝通和技術報告是兩種文體。薔琵颱風的比喻讓非技術讀者理解重要性，但當部長說「極可能」「據悉」時，讀者會以為這是官方判斷——這是語言上的責任。
  3. 03
    部長的文章給的是形狀不是清單。他告訴你「為什麼要做」，但「每台 PHP 主機的版本號、哪些先更新、哪些該下線」的清單要你自己寫。
  4. 04
    警訊公開時駭客也同步得知。資安署發警訊是必要的，但也代表攻防窗口同時開啟——這不是批評，是提醒防守方不能等警訊才開始盤點。
keywords重點學習：最需要學習的 10 個關鍵字7 個
  1. 01
    證據分級（proven／inferred／gap）
    把事實、推論、缺口分開放，是讓政策溝通保持可信度的方法。
  2. 02
    AI 資安模型（AI for security）
    OpenAI 確認其 AI 模型協助發現 PHP 漏洞，但具體角色與範圍未公開。AI 獵漏洞不是科幻，但本次事件中的角色仍需更多證據。
  3. 03
    作者觀點 vs. 官方聲明
    林宜敬的推論可能基於非公開資訊，但在公開引用時要標示證據等級——這不是質疑判斷，是讓讀者知道哪些可以核對。
  4. 04
    政策溝通的比喻（薔琵颱風 vs. 資安颱風）
    成功讓非技術讀者理解重要性，但比喻不能取代具體指引。
  5. 05
    資安署警訊機制（TWCERT/CC、N-ISAC）
    台灣政府通知政府機關與關鍵基礎設施的管道；警訊公開時攻防窗口同時開啟。
  6. 06
    PHP 版本生命週期
    8.2 以上有官方修補，8.1 以下無官方修補版，只有原始碼回移需自行編譯。版本清單決定你的更新策略。
  7. 07
    「拿著鍵盤跟滑鼠的超級英雄」
    政策溝通的語言，讓社會理解資安從業人員的壓力。語言是有溫度的，但溫度不能取代執行細節。
try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 列出每台對外 PHP 主機的版本號（唯讀查詢）
    php -v
sudo systemctl status php-fpm php7.4-fpm php8.1-fpm php8.2-fpm php8.3-fpm
apt list --installed | grep php
    看到什麼代表什麼：8.2 以上且低於 8.5.12、8.4.27、8.3.36、8.2.35：立即排更新。8.1 以下：今天決定是限制存取、下線還是排升級。找不到 PHP 但網站能跑：可能是 Docker 或共享主機，去問託管商。
  2. 確認你的網站有沒有自己報版本（唯讀外部查詢）
    curl -sI https://www.yoursite.com.tw/ | grep -i x-powered-by
    看到什麼代表什麼：看到 X-Powered-By: PHP/7.4.33 這類字樣，代表 Shodan 與攻擊者掃描時也看得到你的版本，你就在曝險清單上。藏版本（expose_php = Off）可以少被點名，但不能取代更新。
  3. 查詢數發部資安署是否有針對 PHP 漏洞發布警訊（唯讀瀏覽）
    # 無指令，請瀏覽 https://moda.gov.tw/ACS/
    看到什麼代表什麼：資安署網站應有針對政府機關及關鍵基礎設施的防護公告。一般企業不一定收得到第一手警訊，要主動查。
  4. 看一眼主機上 PHP 程序底下有沒有異常子程序（唯讀）
    ps -eo pid,ppid,user,comm,args --forest | grep -A3 -E 'php-fpm|php-cgi' | grep -v grep
    看到什麼代表什麼：正常情況下 PHP 程序底下只有它自己的 worker。看到 sh、bash、curl、wget 掛在 php-fpm 底下，先截圖存證再處理。這是被打穿最常見的痕跡。
  5. 確認你的更新排程是「收到警訊才更新」還是「定期主動更新」
    看到什麼代表什麼：如果是前者，代表你永遠在追；如果是後者，問一句：上一次 PHP 安全更新是什麼時候。答不出來就是前者。
  6. 回答一題不用指令的問題：你的 PHP 主機清單上次更新是什麼時候
    看到什麼代表什麼：答不出來或超過三個月，代表這份清單目前是裝飾品。部長給的是形狀，清單要你自己寫。

回到那篇臉書貼文

林宜敬用薔琵颱風當開場,讓資安漏洞潮變成一個台灣讀者剛經歷過的具體經驗。他說資安人員正在跟時間賽跑，呼籲社會體諒那些「拿著鍵盤跟滑鼠的超級英雄」。

這些話有溫度,也有效果——它們讓非技術讀者理解「這件事為什麼重要」。但溫度不能取代清單,比喻不能取代版本號。

部長的文章給的是「為什麼要做」,執行手冊要你自己寫。今天就把每台 PHP 主機的版本號列進清冊,這是颱風過後的第一件事。

來源

分享
精選拆解直送信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。

延伸閱讀

作者分析

當大家都滿分的時候，你還可以做什麼？

網站能用、SEO 滿分、訂單下得了，這些現在多數團隊都做得到。2008 年我們在《輔仁管理評論》發表一篇專案排程論文，講的是穩健性（robustness）：計畫在紙上都準時，為什麼現實中還是延誤。十八年後回頭看，同一個觀念放在網站上一樣成立：當每個網站都拿到滿分，能分出高下的，是某一個零件壞掉那天，整個網站會不會一起倒。

  • 2026/10/23
  • 每日拆解
新聞稿拆解

PHP 緊急修補後兩天：第二個 RCE 風險浮現但不修

PHP 在 10 月 21 日發布 PHP2Shell 漏洞的緊急修補後，兩天內又警告另一個未修補的 RCE 風險 CVE-2026-115560。這次 PHP 決定不發緊急修補，而是建議暫時關閉 session upload progress 功能，因為只有非常罕見的設定組合會受影響。與此同時，之前的 PHP2Shell 漏洞已被大規模利用，攻擊者嘗試部署 Mirai 殭屍網路變種，但目前尚未有可靠的利用成功案例。

  • 2026/10/23
  • 每日拆解