PHP 緊急漏洞讓投資人重新關注資安服務商：網站營運者忙著降低風險、更新軟體，Cloudflare 的網頁應用程式防火牆（WAF）也直接與防護行動相關。Cloudflare 盤中漲逾 6%，其他資安及軟體股亦有漲幅。不過，當天走勢不能只歸因於 PHP 漏洞；市場報導也提到資金從半導體股轉向軟體股，以及 Nvidia 與 CrowdStrike 的 AI 資安合作消息。19202217

資安股為何受到追捧？

漏洞曝光後，多個網站採取預防性下線措施，網站防護需求因而成為市場焦點。TradingKey 報導指出，Datadog、Okta 和 Zscaler 等相關軟體公司也走高；另一份午後市場報導則稱，Cloudflare 一度上漲約 7%，Palo Alto Networks 上漲 4%。這些是盤中報價快照，並非經確認的收盤漲幅，也不能證明 PHP 事件是每檔股票上漲的唯一原因。1920

Cloudflare 與事件的關聯尤其直接：公司表示已部署針對漏洞的 WAF 防護規則，協助網站在安裝修補程式前降低曝險。不過，防火牆規則屬於緩解措施，不能取代更新 PHP 執行環境。1511

市場上還有其他推力。一則報導指出，投資人因 AI 基礎建設支出與融資成本疑慮，將資金從半導體股轉向軟體股；另一則報導則把 CrowdStrike 的漲勢部分歸因於與 Nvidia 擴大 AI 資安合作，並記錄 Datadog、Okta 等股走高。這些因素有助解釋為何當天漲勢不只圍繞 PHP 漏洞。2217

PHP2Shell 漏洞與修補時程

兩項漏洞的編號為 CVE-2026-109618 和 CVE-2026-109619，合稱 PHP2Shell。報導指出，兩者在 CVSS v4.0 嚴重度評分中均為 9.2，並可能導致未經驗證的遠端程式碼執行：攻擊者有機會不必先登入，就在受影響伺服器上執行程式碼。1415

Cloudflare 說明，受影響範圍包括執行 PHP 5.4 或更新版本的網頁伺服器。PHP 對仍受支援分支發布的修補版本為 8.2.35、8.3.36、8.4.27 和 8.5.12。158

PHP 開發者於 10 月 20 日（週二）發出漏洞警告，修補版本則於隔天推出。有報導稱，修正更新於 10 月 21 日約 13:45 GMT 確認可供下載。139

為何一些網站暫時關閉？

漏洞曝光後，歐洲部分政府、醫院與大學網站為爭取處理時間，採取預防性下線。暫時關站本身並不代表網站已遭成功入侵。3

Wikimedia 的事件公告則明確列出 Cloud VPS 和 Toolforge 在預防性維護期間暫停服務；這不代表所有維基百科服務都無法使用。7

PHP 使用範圍廣泛，報導估計約 70% 的網站採用 PHP。這個數字反映技術的普及程度，不代表有同樣比例的網站可被利用或已遭入侵。8

網站營運者接下來要做什麼？

Cloudflare 表示觀察到攻擊開始出現；另一方面，報導也提及有些國家機關尚未觀察到漏洞遭利用。兩種說法可以同時成立，因為監測範圍與觀察時段不同；沒有觀察到攻擊，不等於系統一定安全。13

若網站使用共享主機，應向主機商確認伺服器上的 PHP 執行環境是否已更新至修補版本，或是否套用了供應商提供的回補修正。更新 WordPress 等內容管理系統，不一定等於更新其底層 PHP 版本。WAF 可作為暫時防護層，但應進一步詢問主機商修補了什麼、何時完成。

PHP 緊急漏洞讓投資人重新關注資安服務商：網站營運者忙著降低風險、更新軟體，Cloudflare 的網頁應用程式防火牆（WAF）也直接與防護行動相關。Cloudflare 盤中漲逾 6%，其他資安及軟體股亦有漲幅。不過，當天走勢不能只歸因於 PHP 漏洞；市場報導也提到資金從半導體股轉向軟體股，以及 Nvidia 與 CrowdStrike 的 AI 資安合作消息。19202217

資安股為何受到追捧？

漏洞曝光後，多個網站採取預防性下線措施，網站防護需求因而成為市場焦點。TradingKey 報導指出，Datadog、Okta 和 Zscaler 等相關軟體公司也走高；另一份午後市場報導則稱，Cloudflare 一度上漲約 7%，Palo Alto Networks 上漲 4%。這些是盤中報價快照，並非經確認的收盤漲幅，也不能證明 PHP 事件是每檔股票上漲的唯一原因。1920

Cloudflare 與事件的關聯尤其直接：公司表示已部署針對漏洞的 WAF 防護規則，協助網站在安裝修補程式前降低曝險。不過，防火牆規則屬於緩解措施，不能取代更新 PHP 執行環境。1511

市場上還有其他推力。一則報導指出，投資人因 AI 基礎建設支出與融資成本疑慮，將資金從半導體股轉向軟體股；另一則報導則把 CrowdStrike 的漲勢部分歸因於與 Nvidia 擴大 AI 資安合作，並記錄 Datadog、Okta 等股走高。這些因素有助解釋為何當天漲勢不只圍繞 PHP 漏洞。2217

PHP2Shell 漏洞與修補時程

兩項漏洞的編號為 CVE-2026-109618 和 CVE-2026-109619，合稱 PHP2Shell。報導指出，兩者在 CVSS v4.0 嚴重度評分中均為 9.2，並可能導致未經驗證的遠端程式碼執行：攻擊者有機會不必先登入，就在受影響伺服器上執行程式碼。1415

Cloudflare 說明，受影響範圍包括執行 PHP 5.4 或更新版本的網頁伺服器。PHP 對仍受支援分支發布的修補版本為 8.2.35、8.3.36、8.4.27 和 8.5.12。158

PHP 開發者於 10 月 20 日（週二）發出漏洞警告，修補版本則於隔天推出。有報導稱，修正更新於 10 月 21 日約 13:45 GMT 確認可供下載。139

為何一些網站暫時關閉？

漏洞曝光後，歐洲部分政府、醫院與大學網站為爭取處理時間，採取預防性下線。暫時關站本身並不代表網站已遭成功入侵。3

Wikimedia 的事件公告則明確列出 Cloud VPS 和 Toolforge 在預防性維護期間暫停服務；這不代表所有維基百科服務都無法使用。7

PHP 使用範圍廣泛，報導估計約 70% 的網站採用 PHP。這個數字反映技術的普及程度，不代表有同樣比例的網站可被利用或已遭入侵。8

網站營運者接下來要做什麼？

Cloudflare 表示觀察到攻擊開始出現；另一方面，報導也提及有些國家機關尚未觀察到漏洞遭利用。兩種說法可以同時成立，因為監測範圍與觀察時段不同；沒有觀察到攻擊，不等於系統一定安全。13

若網站使用共享主機，應向主機商確認伺服器上的 PHP 執行環境是否已更新至修補版本，或是否套用了供應商提供的回補修正。更新 WordPress 等內容管理系統，不一定等於更新其底層 PHP 版本。WAF 可作為暫時防護層，但應進一步詢問主機商修補了什麼、何時完成。