组织网站遇到重大漏洞时的确认与应对¶

公民团体、协会与小型媒体的网站，平常多半由托管服务、主机商或外包工作室维护。网站底下的某个软件出现重大漏洞时，负责网站的人往往不是工程师，却要判断网站有没有受影响、该找谁处理。

这篇写给协会的行政人员、NGO 的项目人员、小型媒体的编辑这类负责网站的人。内容以 2026 年 10 月的 PHP 漏洞为例，事件的日期与版本号集中在下面的方块，做法也适用于之后类似的情况。

例子：2026 年 10 月的 PHP 漏洞

PHP 是 WordPress 这类建站程序底下负责执行网站程序的软件。10 月 20 日，两个漏洞编号（CVE-2026-109618、CVE-2026-109619，CVE 是公开漏洞的统一编号）在预定公开前外泄。PHP 在 10 月 21 日发布 8.5.12、8.4.27、8.3.36 与 8.2.35 修补，两个漏洞可能让没有登录的攻击者在服务器上执行代码。WordPress.org 的公告说明这不是 WordPress 本身的漏洞，不会为此发布更新，要更新的是服务器上的 PHP。台湾计算机网络危机处理暨协调中心（TWCERT/CC）10 月 22 日的警讯写到网络上已出现概念验证程序（证明漏洞能被利用的程序），Cloudflare 也观察到攻击流量。

赶时间的话，先做这三件

确认网站放在哪里、底层的软件由谁更新，做法见下一节
把漏洞编号寄给负责的人，请对方书面回复是否已修补、何时修补。主机费由外包商代付时，寄给外包商
对方确认修补完成后，更换网站后台管理员账号的密码，并开启两步验证

网站放在哪里，谁负责哪一层¶

一个网站大致分成三层，最上面是网站程序，例如 WordPress 与它的主题、插件。中间是执行网站程序的软件，例如 PHP，最下面是操作系统与服务器。漏洞出在哪一层，就要找负责那一层的人。

PHP 漏洞出在中间那一层。WordPress.com 的运营公司 Automattic 的说明写到，这是运行环境的修补，只更新 WordPress、主题或插件涵盖不到。平常在后台按下的「更新」，多半只更新最上面那一层。

网站放在哪里	网站程序由谁更新	运行环境与操作系统由谁更新
托管服务，注册账号就能建站，例如 WordPress.com	服务商或你	服务商
租用主机（虚拟主机、共享主机），后台多半是主机商提供的管理界面	你或外包商	主机商
云主机、自有服务器，或整套交给外包商	你或外包商	你或外包商

不确定是哪一种时，看每年的主机费付给谁，以及登录网站后台用的是哪一家的账号。域名注册商跟主机商不一定是同一家。主机费由外包商代付、组织手上没有主机账号时，找外包商，由他们向主机商确认或代为处理。

放在托管服务的网站，看服务商的公告就好。以 PHP 漏洞为例，Automattic 的说明写到放在 WordPress.com 等自家托管服务的网站已经受到保护，管理员不必另外调整设置。这类网站只需要做「修补后的检查」最后一段的三件事：换后台密码、检查管理员名单、开启两步验证。租用主机或交给外包商的，接着看下一节。

给主机商或外包商的问题¶

寄信时附上漏洞编号，对方查起来比较快，并请对方用书面回复。可以问这五件事：

网站使用的 PHP 是哪个版本，这两个漏洞是否已修补、何时修补，更新后 PHP 服务是否已重启
修补方式是升级到官方的新版本，还是服务器操作系统的软件包更新（两种的版本号看起来不同，见下一节）
修补完成之前，有没有看到不寻常的访问，能不能协助检查漏洞消息外泄那天以后的日志
组织这边需要做什么，例如更换哪些密码
使用的版本还在官方的支持期内吗，不在的话，升级的时间表与费用

对方回复「已经处理好了」时，请对方补上版本号与修补时间，书面回复之后可以用来对照。已经有人公开能利用漏洞的程序时，等待的时间越短越好。当天或隔天没有回复、或答不出版本号时，本页建议当成暂时无法修补，看「暂时无法修补时的选项」。

版本号的判读¶

用 WordPress 的网站，WordPress.org 的公告写到可以在后台英文界面的「Tools > Site Health > Info > Server」看到 PHP 的版本，中文界面的菜单名称本页没有核对。不是 WordPress 的网站，请主机商或外包商提供版本号。

PHP 的版本号由三段数字组成，前两段是系列。官方修补版本要对照同一系列，例如 8.4 系列要 8.4.27 以上、8.3 系列要 8.3.36 以上，才是已经修补的官方版本。

服务器操作系统的软件包常把修补移植到原本的版本，版本号维持旧的号码。例如 Ubuntu 24.04 修补后的 PHP 软件包是 8.3.6-0ubuntu0.24.04.13。其中的 8.3.6 是另一个版本号，不能拿来跟官方的 8.3.36 比，直接对照会误判成没有修补。看到比官方修补版本小的数字时，要以主机商或外包商的书面回复为准。

版本号最直接的用途，是确认有没有过了支持期。依 PHP 官网的支持版本页，8.1 以下已经结束支持，官方不再提供更新。8.2 会在 2026 年 12 月 31 日结束支持。

PHP 的公告也提到，部分操作系统与长期支持的服务商会替旧版提供移植的修补。例如 Ubuntu 22.04 的 PHP 8.1 软件包就有修补版，旧版有没有修补同样要以书面回复为准。PHP 团队另外替 7.4、8.0、8.1 提供了源代码补丁，对象是自行从源代码构建 PHP 的人，租用主机的组织用不上。

版本过了支持期的网站要列入升级计划，升级可能影响网站程序的兼容性，时间表与费用请主机商或外包商估算。

暂时无法修补时的选项¶

主机商还没修补、版本过了支持期而且主机商也没有旧版的修补，或外包商联系不上时，有三种做法可以选。

第一种是暂时停止网站，任何组织都做得到，但要有人有权限关站。韩国互联网振兴院（KISA）10 月 22 日的企业应对守则建议，无法更新、也无法套用临时设置时，考虑切断外部连接或暂停服务。WordPress.org 的公告也引述英国国家网络安全中心（NCSC），建议无法立即修补时考虑让系统离线。代价是读者、会员或捐款人暂时找不到网站，本页建议由组织负责人决定，并在社交媒体账号说明是预防措施、预计何时恢复。

第二种是网站前端的防护服务，前提是网站原本就接在 Cloudflare 这类服务后面，不确定的话问外包商。Cloudflare 10 月 21 日的博客写到，对应的网站应用防火墙（WAF，过滤攻击流量的规则）从当天起对免费与付费客户默认启用。同一篇文章也提醒，有防火墙规则仍然要修补 PHP。

第三种是调整服务器的设置。PHP 的公告列出几项设置，可以缩小部分攻击路径，但公告也写明只有更新能完整解决。改设置需要服务器的权限，要交给主机商或外包商。

走了这三种做法的网站，修补完成后仍然要做下一节的检查。

修补后的检查¶

KISA 的守则建议，更新后至少检查漏洞信息外泄那天以后的日志，PHP 漏洞的外泄日是 10 月 20 日。修补前一直对互联网开放的服务器，守则建议更换数据库密码、外部服务的连接密钥（API 密钥，网站跟其他服务连接用的密钥）与服务器的管理员密码。

守则也提醒，更新后要重启所有执行 PHP 的网站服务，否则内存里的旧版本会继续运行。台湾数位发展部资通安全署 10 月 22 日的新闻稿内容也包含，更新后要检视系统日志与异常访问记录，发现可疑活动时进一步确认账号与凭证的安全。KISA 的守则也写明，日志查不到异常不代表安全，更新与更换密码要一起做。

上面这些多半要主机商或外包商处理，「给主机商或外包商的问题」的第一、三、四题就是为了这一步。KISA 守则写的是服务器的管理员账号、数据库与连接密钥，没有提到 WordPress 这类网站后台的账号。负责网站的人自己能做的是更换网站后台管理员的密码、检查用户名单里有没有不认得的管理员，并开启两步验证，这三件是本页的建议。换密码要等修补确认之后，漏洞还在时换的密码一样可能被取走（见密码管理器入门）。

发现异常时¶

本页整理的常见迹象有几种：后台出现不认得的管理员账号或文章、首页的内容被换掉、访客被导到别的网站，或主机商通知网站有异常。看到这些迹象时，本页建议先截图、记下时间，并请主机商或外包商保留服务器的日志。可疑的文件不要自行删除，留给处理的人判断。

KISA 的守则针对疑似被入侵的服务器，建议先只切断外部连接，不要关机或重启。重启会清掉内存里的攻击痕迹，所以要在更新与重启之前先保全证据。

资安署 2026 年 7 月发布的《资安事件应变处理行动指引》写给中小企业的非技术人员，涵盖的六种情境不含网站被入侵，其中账号被盗的处理、检查清单与对外声明的模板可以参考。同一份指引列出的通报渠道是 TWCERT/CC 的在线通报，涉及犯罪时向所在地的警察机关报案。TWCERT/CC 的一般资安通报页写的受理身份是「一般企业」，公民团体是否适用页面没有写明。

网站里有会员、捐款人或联署人的个人信息时，还要考虑台湾的《个人资料保护法》。目前生效的第 12 条规定，违反个资法致个人资料被窃取、泄漏、篡改时，要查明后以适当方式通知当事人。2025 年 11 月 11 日公布的修正条文改成知悉外泄就要通知当事人，符合一定范围时还要向个人资料保护委员会（修正后的个资法主管机关）通报。

到 2026 年 10 月 22 日，修正条文的施行日期还没定。条文以全国法规数据库为准，修法的背景见台湾个资法 2025 修法。

平时的准备¶

下面五件事可以平常先做，都是本页的建议：

列一张网站清单，写下每个网站放在哪里、谁负责、合同上的联系窗口与后台账号放在哪里。办活动时建的网站与旧网站最容易被忘记
写下每个网站存了哪些人的个人信息，例如会员、捐款人、联署人，出事时才知道要通知谁
跟外包商约定重大漏洞公开时，多久内要回复与处理
确认网站有定期备份，而且备份可以还原
网站后台的管理员账号开启两步验证，密码不跟其他服务共用

不同处境的差异¶

组织里有懂服务器的人时，这一页的问题可以改成内部的检查清单，由那位成员直接对照操作系统的安全公告。全靠外包商的组织，重点是「给主机商或外包商的问题」与书面回复，合同里最好事先写好重大漏洞的处理时限。网站由一位志愿者维护的组织，风险在于那位志愿者联系不上，后台账号与主机账号至少要有第二个人知道放在哪里。这一节是本页的建议。

台湾的脉络¶

PHP 漏洞公开后，TWCERT/CC 10 月 22 日发布漏洞警讯。资安署同一天的新闻稿写到，已通过资安警讯、国家资安信息分享与分析中心（N-ISAC）与 TWCERT/CC 通知各机关与企业。N-ISAC 2026 年 7 月修订的会员规章列出的会员是政府机关、关键基础设施的主管机关、国家级计算机紧急响应团队与网络安全厂商，依条文，民间团体不在其中。

民间团体查得到的公开渠道，是 TWCERT/CC 的漏洞警讯公告页、网络安全新闻的 RSS 与每月一期的网络安全情报电子报，电子报赶不上紧急的漏洞。TWCERT/CC 另有需经审核的会员制度「台湾资安联盟」，规章列出的成员包含公协会与法人团体。小型公民团体是否符合资格、要不要费用，页面没有写明。资安署 2026 年 4 月的新闻稿提到可以免费注册 TWCERT/CC 会员接收威胁警报，是否就是台湾资安联盟，新闻稿没有写明。

资安署另有给中小企业的基本网络安全防护指引与自检表，以及与经济部中小及新创企业署合作、在马上办服务中心提供的网络安全咨询专线。这些资源的对象都写中小企业，非营利组织能否使用页面没有写明。

本页的范围¶

只处理你自己组织的网站。检查或探测别人的网站需要对方的授权，本页不涉及
不提供漏洞的利用方式与检测规则，技术细节以官方公告为准
不提供法律意见。涉及个人信息泄露时的通知与通报义务，需要咨询律师或主管机关
例子的数字与版本号会随时间过时，遇到新的漏洞以当时的官方公告为准

求助渠道¶

TWCERT/CC 一般资安通报：在线表单，或寄 email 到 [email protected]
资安事件应变处理行动指引：资安署写给中小企业非技术人员的应变步骤，六种情境不含网站被入侵，检查清单与声明稿模板可以参考
马上办服务中心 0800-280-280：资安署与经济部中小及新创企业署合作的中小企业网络安全咨询，免费
Access Now Digital Security Helpline：公民团体、媒体与人权工作者的数字安全求助，免费、全天候。提供十种语言但不含中文，提供协助前会先确认身份
紧急求救：账号被盗、设备与骚扰情境的步骤清单