新版本 0.5.5

目前 0.5.2。產生此頁時偵測到新版本。

這次更新：

長條圖、折線圖、圓餅圖：把數字寫進 chart 程式碼區塊
一個按鈕清除頁面上的所有標註
am serve --secret-file 讓頁面連結在重新啟動後依然有效

在終端機執行：

npx skills update answer-me-with-html -y

或者告訴 Agent：

更新 answer-me-with-html

查看更新內容

Generated by Answer me with HTML 0.5.2 · 2026-10-22 09:46 · ★ Star on GitHub

PHP 重大安全更新懶人包

兩個未認證 RCE 漏洞，有跑 PHP 就立刻更新

sourceThe PHP Foundation 2026-10-21 公告＋ HN 50182987 討論

Lead: PHP 8.5.12、8.4.27、8.3.36、8.2.35 修掉兩個重大漏洞，未經驗證就能遠端執行程式碼。有跑 PHP 就現在更新。

A

先做這件事

立刻更新

受影響版本：PHP 8.5、8.4、8.3、8.2 全線中招，修正版為 8.5.12、8.4.27、8.3.36、8.2.35。
嚴重程度：CVSS 9.2，兩個都是未認證遠端程式碼執行。
發佈商與主機商多半已推修補，先確認版本，再排更新。

B

兩個漏洞是什麼

編號	類型	一句話說明
CVE-2026-109618	記憶體耗盡污染	請求撞上記憶體上限的時機不對，半成品資料被當真，記憶體損毀。Apache 加 mod_php 預設值即可完整攻陷。
CVE-2026-109619	殘留全域狀態	錯誤時機的致命錯誤留下舊指標，下一個請求用到已釋放記憶體，已證實可攻陷真實站台。

C

從洩漏到發佈

10/20 15:00 UTCCVE 編號外流兩組編號在論壇流傳，時間與分數全錯，無技術細節
10/20 19:30 UTC官方提前預告發佈日從 10/22 提前到 10/21，留時間給發佈商打包
10/20 約 20:00 UTC影片誤發通報廠商 Calif 誤發概念驗證影片，刪除後拷貝瘋傳
10/21 07:41 UTC有人破禁發期Chainguard 提前發佈含修補映像檔，比協調時間早六小時
10/21 14:00 UTC正式發佈四條版本線同步釋出修補

D

名詞註解

禁發期: 協調揭露完成前，約定不得提前公開的時間
Chainguard: 美國軟體供應鏈安全公司，主產品是 hardened 容器映像檔
Wolfi: Chainguard 維護的容器專用 Linux 發行版
SiteGround: 商業虛擬主機商，WordPress 託管大戶
PoC: 概念驗證，這次指可實際攻陷的展示程式
WAF: 網站應用防火牆，Cloudflare 與 Bunny 先上了擋擋規則

E

HN 網友在吵什麼

議題	一方	另一方
Chainguard 破禁發期	多數譴責：找不出正當理由，該冷凍	少數力挺：禁發期過時，早發早減少停機
關上傳擋攻擊	實戰派：三行 nginx 規則擋下數百次掃描	糾正派：不算真正緩解，會給錯誤安全感
PHP 該不該換掉	辯護派：這是 C 寫法問題，定位如 Heartbleed	重寫派：Rust 只能消滅一類漏洞，挖洞加速還在
官方溝通	批評：洩漏後完全沉默，半夜也該有人出聲	體諒：人少錢少，兩個月修好引擎深層問題算快

F

今晚自保三件事

查版本，確認是否落在受影響範圍。
能更新就更新，不能停機就先上 WAF 或擋可疑上傳。
翻紀錄，找針對常見路徑的連續 POST 掃描。

G

來源

---
template: sheet
title: PHP 重大安全更新懶人包
subtitle: 兩個未認證 RCE 漏洞，有跑 PHP 就立刻更新
lang: zh-TW
cols: 3
source: The PHP Foundation 2026-10-21 公告＋ HN 50182987 討論
---

Lead: PHP 8.5.12、8.4.27、8.3.36、8.2.35 修掉兩個重大漏洞，未經驗證就能遠端執行程式碼。有跑 PHP 就現在更新。

## 先做這件事 {span=3}
```callout err 立刻更新
- 受影響版本：PHP 8.5、8.4、8.3、8.2 全線中招，修正版為 8.5.12、8.4.27、8.3.36、8.2.35。
- 嚴重程度：CVSS 9.2，兩個都是未認證遠端程式碼執行。
- 發佈商與主機商多半已推修補，先確認版本，再排更新。
```

## 兩個漏洞是什麼
| 編號 | 類型 | 一句話說明 |
|------|------|-----------|
| CVE-2026-109618 | 記憶體耗盡污染 | 請求撞上記憶體上限的時機不對，半成品資料被當真，記憶體損毀。Apache 加 mod_php 預設值即可完整攻陷。 |
| CVE-2026-109619 | 殘留全域狀態 | 錯誤時機的致命錯誤留下舊指標，下一個請求用到已釋放記憶體，已證實可攻陷真實站台。 |

## 從洩漏到發佈
```timeline
10/20 15:00 UTC | CVE 編號外流 | 兩組編號在論壇流傳，時間與分數全錯，無技術細節
10/20 19:30 UTC | 官方提前預告 | 發佈日從 10/22 提前到 10/21，留時間給發佈商打包
10/20 約 20:00 UTC | 影片誤發 | 通報廠商 Calif 誤發概念驗證影片，刪除後拷貝瘋傳
10/21 07:41 UTC | 有人破禁發期 | Chainguard 提前發佈含修補映像檔，比協調時間早六小時
10/21 14:00 UTC | 正式發佈 | 四條版本線同步釋出修補
```

## 名詞註解
```kv cols=2
禁發期: 協調揭露完成前，約定不得提前公開的時間
Chainguard: 美國軟體供應鏈安全公司，主產品是 hardened 容器映像檔
Wolfi: Chainguard 維護的容器專用 Linux 發行版
SiteGround: 商業虛擬主機商，WordPress 託管大戶
PoC: 概念驗證，這次指可實際攻陷的展示程式
WAF: 網站應用防火牆，Cloudflare 與 Bunny 先上了擋擋規則
```

## HN 網友在吵什麼
| 議題 | 一方 | 另一方 |
|------|------|--------|
| Chainguard 破禁發期 | warn 多數譴責：找不出正當理由，該冷凍 | 少數力挺：禁發期過時，早發早減少停機 |
| 關上傳擋攻擊 | ok 實戰派：三行 nginx 規則擋下數百次掃描 | no 糾正派：不算真正緩解，會給錯誤安全感 |
| PHP 該不該換掉 | ok 辯護派：這是 C 寫法問題，定位如 Heartbleed | no 重寫派：Rust 只能消滅一類漏洞，挖洞加速還在 |
| 官方溝通 | no 批評：洩漏後完全沉默，半夜也該有人出聲 | ok 體諒：人少錢少，兩個月修好引擎深層問題算快 |

## 今晚自保三件事
1. 查版本，確認是否落在受影響範圍。
2. 能更新就更新，不能停機就先上 WAF 或擋可疑上傳。
3. 翻紀錄，找針對常見路徑的連續 POST 掃描。

## 來源
- [PHP 基金會原文](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)
- [php.net 公告](https://www.php.net/archive/2026.php#2026-10-21-5)
- [HN 討論串](https://news.ycombinator.com/item?id=50182987)