PHP 核心兩個 RCE 在修補前外洩，六成對外主機沒有官方修補版可裝
PHP 官方 10 月 21 日釋出 8.5.12、8.4.27、8.3.36、8.2.35，修補兩個 CVSS v4.0 9.2、不需登入就能遠端執行程式碼的漏洞。編號與「RCE」先在禁運期結束前外洩，官方隔天才正式確認；資安公司也回報修補釋出前後已有野外攻擊。真正麻煩的是另一個數字：依 Shodan 統計，回報版本的對外 PHP 主機有 59% 跑 8.1 以下，沒有官方修補版可裝。（2026-10-22 更新）
4 可證明2 推論3 缺口繼續閱讀 →