印度CERT-In於2026年10月21日針對PHP兩項重大漏洞發布關鍵警告，22日再向微型、小型與中型企業發布專屬指引，要求優先修補可從網際網路存取的系統。漏洞可讓未經驗證的攻擊者在伺服器執行程式碼，PHP專案評定其CVSS v4.0評分為9.2，屬於嚴重等級；修補版本涵蓋8.5.12、8.4.27、8.3.36與8.2.35。
CERT-In建議營運商檢查異常紀錄，若無法立即更新則限縮存取權限；成功遭攻擊可能導致客戶資料、資料庫與連接資源外洩，或使網站內容遭竄改。印度電子與資訊科技部次長S Krishnan另稱，主管機關已通知約6萬個採用易受攻擊版本PHP的網站。
Unit 42估算全球有超過2,260萬個可能受影響的網際網路曝露實例，但此數字代表潛在暴露面，並非已確認遭入侵的數量。PHP 8.2預計12月31日終止生命週期，屆時將不再取得安全修補。
這起事件並非傳統的國家級駭客攻防，而是暴露了全球網際網路基礎設施長期累積的維運債與技術汰換落差。PHP承載全球網站龐大比例的伺服器端工作負載，卻同時面臨版本生命週期延長、修補容量不足與相容性遷移成本偏高等結構性問題。
漏洞修補本身並無明顯政商利益角力，但攻防之間存在高度不對稱：維護PHP核心的專門人才有限，修補工作又曾因相容性疑慮而停滯；相對地，自動化攻擊者只需找到少量未更新節點，即可取得橫向移動或資料竊取的跳板。修補速度若落後於武器化速度，開源語言的廣泛普及反而會放大受擊面。
印度此次採「先通知、再分級」的雙軌公告，第一階段鎖定公開暴露系統，第二階段將修補優先序延伸至中小型企業，反映新興市場的網站維運多仰賴小型團隊與代管服務商，資安資源明顯少於跨國企業。
值得注意的是，漏洞修補版本發布時，PHP基金會表示尚未發現可運作攻擊程式，但CERT-In隨後宣稱已出現大規模利用通報；Unit 42則確認存在概念驗證程式。三方資訊落差顯示，實際攻擊成熟度可能高於開源專案掌握的速度。此外，PHP 8.2即將停止維護，任何尚未完成升級的系統，等同在安全支援之外運作。
這次事件與Log4Shell等重大供應鏈事件具有共同結構：受影響軟體普及、部署版本難以完整盤點，而修補完成率缺乏透明揭露。PHP的全球足跡使其影響具備跨境外溢性，但印度已先行建立風險分級與產業溝通機制。
01 起因觸發：PHP兩項未驗證遠端程式碼執行漏洞修補版本發布，印度CERT-In要求優先處理公開曝露系統
02 一階傳導：電商、金融、政府與代管網站進行版本盤點、緊急更新、存取限縮與入侵痕跡查核
03 二階擴散：跨國駭客利用批次掃描尋找未修補節點，憑證外洩與殭屍網路風險向雲端架構擴散
04 採購重塑：雲端與代管服務商須提交版本證明與修補率，資安要求逐步寫入商業契約
05 結構反轉：開源維護能量、相容性成本與版本生命週期問題浮上檯面，安全供應鏈資源配置面臨檢討
06 宏觀終局：各國主管機關由單一漏洞公告走向跨國曝露資料協作，可稽核的資安基準逐步成形
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
ACLED 地緣衝突與安全熱區監測
MODERATE (區域摩擦)監測熱區：南亞與印太邊界 (South Asia & Border Security)（克什米爾 · 開柏爾-普赫圖赫瓦 · 印中邊界）
📡 區域安全態勢評估： 開柏爾走廊武裝襲擊活躍度攀升，巴基斯坦與阿富汗塔利班邊界摩擦牽動中巴經濟走廊 (CPEC) 安全。
