10 月資安事故接連發生｜PHP、nginx、Linux、Python、Node.js
2026 年 10 月，nginx、Linux 核心、PHP、Node.js 接連修補重大漏洞，eMudhra 憑證私鑰外洩，npm 與 PyPI 出現竊取憑證的惡意套件，Zeabur、Railway 與 OpenCode 也傳出金鑰外洩。本文依台灣時間整理十一起事件的經過、受影響版本與修補方式，並把處置分成「更新後重新部署」與「撤銷並更換金鑰」兩類，附上確認方法與盤點表，方便逐項檢查自己的服務。
憑證私鑰竟然是 4？eMudhra 資安事件與 HTTPS 信任風險
eMudhra 八個中繼 CA 的 ECC 私鑰被研究者復原，其中一把的數值竟然是 4。Mozilla 與 Chrome 已緊急封鎖相關憑證，但使用獨立信任庫的程式、命令列工具及容器仍需要更新。本文從憑證機構與 HTTPS 身分驗證的用途，說明弱金鑰如何造成假憑證風險、eMudhra 初步公布的產生流程問題，以及瀏覽器、Node.js、Go、Python certifi 的更新方向，也解釋這件事為何讓人想起 xkcd 的隨機數老梗，協助判斷網站與開發環境需要處理的範圍。
PHP 緊急修補兩個重大漏洞｜未登入也可能遠端執行程式碼
PHP 於 2026 年 10 月 21 日緊急修補兩個 CVSS 9.2 分重大漏洞，未登入的攻擊者可能遠端執行程式碼，PHP-FPM、Apache mod_php 等網站環境都需要盤點。本文整理 CVE-2026-109618 與 CVE-2026-109619 的原理、四個修補版本，以及 WordPress 站長、虛擬主機與容器部署的更新確認方式，說明 Linux 套件回補如何判讀，也交代關閉上傳進度功能及調整記憶體限制為何只能減少部分風險，協助確認實際提供服務的 PHP 是否完成修補。
WordPress 核心漏洞 CVE-2026-87902｜8.1 分風險、影響版本與修補教學
WordPress 核心漏洞 CVE-2026-87902 可讓未登入的攻擊者載入佈景主題目錄之外的本地 PHP 檔案，在特定環境下進一步遠端執行程式碼。常見的 8.1 分來自 CVSS 3.1，官方公告另列 CVSS 4.0 的 9.2 分，兩者不是不同漏洞。WordPress 7.1.2 已完成修補，舊分支也有對應更新。本文整理受影響條件、各分支修補版本、後台與 WP-CLI 更新方式，以及已出現攻擊活動後應檢查的紀錄，說明為什麼更新外掛、修改登入網址或只開啟防火牆都不能代替核心修補。