重點 1：首相親自發資安警告，非常罕見
PHP 官方 10/21 修補兩個被稱為「php2shell」的遠端程式碼執行漏洞（CVE-2026-109618、109619，CVSS 9.2），未經驗證就可能控制網站伺服器。日本 pixiv、niconico 等服務緊急停機檢查，部分鐵路、銀行、政府網站也暫停或維護。
重點 2：被駭的是平台，扛詐騙的是店家
91APP 公告其 Commerce Cloud 資料庫受到自動化攻擊、部分資訊被非法擷取，已報案並委請第三方資安單位調查，數位發展部數產署已進行行政檢查。合作品牌反映，消費者收到冒用品牌名義、內容含真實訂單的詐騙信，以「定期購設定錯誤」「重複扣款」等理由要求操作網銀。
重點 3：8 月換過金鑰，偏偏漏了這一把
Zeabur 初步報告：攻擊者用 2024 年 1 月建立、沒有到期日、以明文存放的叢集管理員權杖與雲端金鑰進入，讀取平台資料庫（約 320 萬筆服務環境變數、32 萬 1,810 個帳號）。8 月事件後的金鑰輪替漏掉了這些權杖。Zeabur 已登出所有使用者、撤銷所有權杖，並宣布 2026/12/31 停止營運。
重點 4：環境變數裡的金鑰，就是你家的鑰匙
Railway 表示偵測到存放客戶環境變數的系統有異常活動，部分可能已被解密，外洩內容可能包括 API 金鑰、資料庫帳密與私有套件權杖；平台暫停所有部署並要求客戶輪替金鑰。有區塊鏈調查者把約 37 萬美元的加密貨幣竊案連到此事件，但尚未獨立證實。
重點 5：AI 讓漏洞更快被找到，也更快被利用
資安團隊用 AI 協助找到這兩個潛伏多年的漏洞；細節在 10/20 正式修補前就提早外流，讓網站管理者能修補的時間大幅縮短。修補版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35，PHP 5、7 系列不再提供修補。
重點 6：不是固定更新日，代表等不及
Oracle 於 10/21 發布非例行的安全警示，CVE-2026-91403 位於 Java SE 的 JSSE 元件，CVSS 9.1，影響 Java SE 與 GraalVM 多個版本；目前未列入已遭利用清單，建議更新到修補版本。
重點 7：資料外洩是詐騙的開始
日本 Lawson 10/8 公布「Lawson ID」遭不正存取，約 215 萬筆會員的姓名、Email 等資料外洩（受害期間 9/12–14）；另有郵件伺服器被冒用發送約 70 萬封可疑信。
重點 8：換過一次不代表全部換過
API 金鑰、資料庫密碼、雲端權杖要放在金鑰管理工具，不要寫在設定檔或程式碼裡；設定到期日與最小權限；平台通報事件時，把所有放在該平台的金鑰都換掉，並列清單確認沒有漏網之魚。
重點 9：以前有幾週，現在可能只有幾天
AI 讓漏洞更快被找到，也讓攻擊程式更快被做出來。小型事業至少要有一張清單：網站用哪個平台、PHP 或 Java 版本、哪些外掛；外包網站的，要問廠商誰負責更新、多快更新。
重點 10：對方知道你的訂單，不代表他是真的
外洩資料讓詐騙信看起來更真：有姓名、訂單、購買品項。消費者遇到要求操作網銀、ATM、更改付款方式的訊息，先停下來、改用官方電話或官網確認。店家則要準備好通知顧客的文字與客服話術，主動提醒、不要等顧客受害才回應。
重點 11：收藏這張，週末對照做一次
用到 Zeabur、Railway 的，現在就換金鑰並規劃搬遷；用 91APP 等電商平台的，準備顧客通知與客服說法；自架或外包網站的，確認 PHP、Java 是否已更新到修補版本。
重點 12：事件還在發展，以官方最新公告為準
91APP〈Commerce Cloud 資料庫受到自動化攻擊事件說明〉、Zeabur〈October 2026 security incident (preliminary report)〉；iThome、ETtoday、科技新報、Google Cloud（PHP CVE-2026-109618／109619）、HKCERT（Oracle Java）、@IT（Lawson ID）、OfficeChai（Railway）。