對此，數發部資安署今天表示，開源伺服器端腳本語言 PHP安全團隊於台灣時間10月 21日晚間 10 時釋出緊急安全更新，修補兩項嚴重漏洞，編號分別為 CVE-2026-109618與 CVE-2026-109619，嚴重度評分（CVSS v4.0）均為 9.2 分。攻擊者可能在未經身分驗證的情況下，從外部執行任意程式碼。由於PHP廣泛用於網站建置、內容管理系統與各類管理介面，資安署呼籲使用PHP的機關、學校及企業，儘速完成版本確認與更新。
資安署表示，在掌握情資後，已透過資安警訊、國家資安資訊分享與分析中心（N-ISAC）及TWCERT/CC等管道，通知各機關及企業儘速完成應處。
🔗 延伸閱讀《全球7成網站使用！「PHP」被AI揪重大漏洞 駭客恐接管、多國網站急關閉》
資安署提醒，PHP同時是 WordPress、Drupal、Joomla、Magento等主要內容管理系統的底層架構，部分未明示使用 PHP的軟體內部也以 PHP運作，資安署呼籲各單位盤點所有 PHP系統與相關套件，確認版本後依原廠公告方式完成修補。更新後，亦應檢視系統日誌及異常存取紀錄，如發現可疑活動，應進一步確認相關帳號與憑證安全性。
資安署表示，將持續掌握 PHP相關漏洞及國內外威脅情資，並透過資安警訊與聯防機制，協助各機關即時採取防護措施，降低資安風險。
此外，資安署今天也表示，因應開源執行環境 Node.js與程式語言 Go於10月21日緊急發布安全性更新，數位發展部資通安全署呼籲各機關與企業，儘速完成版本更新與重新編譯部署。
Node.js官方此次修補10項資安漏洞
由於Node.js與Go都是廣受業界應用的開源執行環境，資安署已於第一時間透過資安警訊與國家資安資訊分享與分析中心（N-ISAC）等聯防網絡，要求各級公務機關及關鍵基礎設施限期完成清查與修補。
資安署指出，Node.js廣泛應用於現代網頁前端工具鏈、後端微服務架構與各類 API伺服器。本次Node.js官方共修補10項資安漏洞，其中4項屬高風險（High）等級；最受矚目的CVE-2026-111497漏洞存在於Brotli解碼器中，因邊界外寫入（Out-of-bounds Write）缺陷，攻擊者可藉由惡意構造之請求觸發記憶體損壞，進而達成遠端執行程式碼（RCE）。
本次更新亦同步修復TLS憑證驗證繞過、DNS解析異常及權限模型（Permission Model）繞過等核心安全問題。官方已釋出安全修復版本（Node.js 22.23.4、24.22.1 及 26.12.1），各單位應即刻檢視伺服器主機與容器化映像檔（Docker Images）並完成升級。
Go於新版本將受影響中間憑證強制加入攔截清單
針對Go語言部分，本次安全更新主要因應近期印度憑證授權中心（Intermediate CA）發生8個已知私鑰外洩的重大資安事件，為防範憑證遭惡意利用而引發中間人攻擊（MitM），Go官方已於新版本（Go 1.27.3 與 Go 1.26.10）中，將受影響之中間憑證強制加入攔截清單，杜絕信任鏈遭突破的風險。
資安署特別提醒，與直譯式語言不同，使用Go語言開發的系統在防護處置上有其特殊性。開發團隊在升級本機或伺服器的工具鏈（Toolchain）後，務必針對現有的 Go應用程式進行「重新編譯（Recompile）」並重新部署，該憑證安全攔截機制方能正式寫入執行檔並生效。若僅更新環境而未重新編譯，系統將持續處於曝險狀態。
