loading...
網站開發程式語言PHP爆發重大資安漏洞，波及台灣近300個政府機關、約800個網站及系統。數位發展部資通安全署長蔡福隆10月29日表示，目前已有460個網站或系統完成修補，另有22個網站因系統老舊或修補進度較慢，已先行關閉。至於中選會日前發生1573名候選人身分證字號外洩事件，初步調查也發現，問題出在委外廠商程式設計不當。
PHP是廣泛應用於網站開發的程式語言，主要負責伺服器端的資料處理及網頁內容生成。PHP官方10月21日公布兩項重大資安漏洞（CVE-2026-109618、CVE-2026-109619），並緊急發布安全更新。這兩項漏洞可能讓駭客在未經身分驗證的情況下，遠端執行惡意程式碼，進而危及網站運作、系統及資料安全。
這波漏洞不僅影響台灣，日本、韓國及歐洲多國政府機關與相關組織也受到衝擊，部分網站及服務甚至預防性下線。
蔡福隆29日出席行政院會後記者會表示，資安署上週針對PHP漏洞發布警訊後，隨即要求各政府機關全面盤點受影響系統，並每天回報修補進度。截至28日下午5時，已有近300個政府機關確認存在需要處理的PHP漏洞，涉及近800個網站或系統。
經過一週檢視與修補，目前已有460個網站或系統完成修復，但部分網站因建置年代較久，或修補作業進度較慢，仍有安全疑慮，因此先行關閉22個網站或系統，避免漏洞遭到利用。
數發部補充，這22個暫時關閉的網站，多屬地方政府或學術研究機構。至於其餘尚未完成修補的系統，能否在一週內全部處理完畢，由於修補後仍須進行測試，無法訂出一致的完成時間。資安署將持續追蹤各機關修補情形，督促儘速排除風險。
除了PHP重大漏洞，中央選舉委員會「公職候選人財產申報系統」近日也爆出個資外洩事件，涉及1573名直轄市長、縣市長及議員候選人的身分證字號，包括台北市長蔣萬安、民進黨台北市長候選人沈伯洋等人。
對於中選會網站的資安問題，蔡福隆表示，初步調查發現，主要是委外廠商程式設計不當，造成資料過度揭露。數發部後續將與中選會合作，協助完成網站安全檢測及風險弱點檢查，確保整體系統安全。
中選會28日則說明，候選人財產申報公告資料的查詢條件及閱覽畫面，並未顯示身分證字號，也不是任何開啟查詢頁面的民眾都能取得相關資料。
中選會初步了解，問題出在委外廠商產製公告資料時，將候選人身分證字號載入非公開查詢檔案，而該檔案以亂碼方式呈現，並非一般民眾可以直接識讀。
中選會強調，已針對委外廠商疏失原因及影響範圍啟動調查，後續將依《個人資料保護法》相關規定辦理。◇
