說法打架
同一件事，不同來源講得不一樣。這頁把各家說法並排放著，再附上官方或較可信的說法當對照；對照不是裁判，其他說法不會因此被刪掉。
共 26 題，其中 11 題截至 2026-10-22 仍待查證。看到下面這些說法被講得很滿時，先別急著轉。
CVSS 分數
各家說法
10.0，或「滿分 10」
— 外洩的 Hacker News 貼文；watchTowr 執行長 Benjamin Harris 對 BleepingComputer 亦稱 CVSS 10
官方或較可信的說法（對照）
官方 CVSS v4.0 為 9.2。基金會說外流貼文的 10.0 是錯的。
從哪一版開始有問題
各家說法
PHP 5、7、8
— watchTowr FAQ
PHP 5、6、7、8
— BleepingComputer 轉述
2004 年 PHP 5 以來全部
— Ars Technica 轉述
官方或較可信的說法（對照）
研究者與 Sansec：程式可回溯到 PHP 5.4.0（2012）。Imperva：被認為可回溯到 5.4.0，並非每個版本都逐一驗證。PHP 6 從未作為正式版發行。官方公告沒有發布「每一個歷史版號都已驗證」的清單。
「過去十年每一版都中」
各家說法
過去十年發布的每個 PHP 版本，至少受其中一個漏洞影響
— Wiz
官方或較可信的說法（對照）
與「回溯到 2012 年的 5.4.0」時間長度不同。這是 Wiz 的研究結論；Imperva 提醒沒有逐版驗證。引用時兩句一起看，不要寫成官方已驗證的完整版本表。
受影響版本寫成一條區間
待查證各家說法
PHP 5.4.0 至 8.5.11
— itnotetk
官方或較可信的說法（對照）
8.5.12、8.4.27、8.3.36、8.2.35 是修補版，各分支「上一版」沒更新就仍有風險。5.4.0 到 8.5.11 的每一個版號是否都驗證過，官方摘要沒有這樣寫。
原訂公開時間
各家說法
10/22 14:00 UTC
— 本站整理時的一種說法；基金會公開文只寫「從 10/22 提前」，沒有寫原訂鐘點
10/22 11:00 美東（15:00 UTC）
— watchTowr 對 BleepingComputer
10/22 18:00 CEST（16:00 UTC，台灣 10/23 00:00）
— 外洩貼文
官方或較可信的說法（對照）
基金會與 The Next Web：原訂 10/22，外洩後提前到 10/21 14:00 UTC。三個原訂鐘點都不要當成已經發生的事。
禁運何時解除
各家說法
禁運原訂 2026-10-21 14:00 UTC 解除
— AWS
官方或較可信的說法（對照）
這個鐘點與提前之後的實際發布時間相同，而基金會說原本是 10/22。AWS 可能是在描述改期後的禁運，也可能是另一套記憶。引用「原訂」時要註明是哪一家的說法。
Calif 從哪一天算起
待查證各家說法
7/30 開始稽核
— PHP 基金會、The Next Web
8/01 找到多條遠端程式碼執行路徑
— Sansec
8/1 開始動手
— 電腦王阿達
8/1 發現
— 衛報轉述 Calif
官方或較可信的說法（對照）
保留基金會的 7/30（開始）與 8/11（回報）。像是「開工」和「找到」被寫成同一天，還沒有人對表。
第一次看到攻擊
各家說法
10/17 蜜罐 MadPot 看到利用嘗試
— AWS
外洩後看到打向客戶的流量
— Cloudflare
Cloudflare 回報早期攻擊的時間是 10/21 07:43 UTC
— Sansec
官方或較可信的說法（對照）
三個都是觀察紀錄，不互相否定。10/17 最早，而且當時仍在禁運。07:43 是 Sansec 所記的「回報時間」，不是 Cloudflare 規則上線時間（規則是 03:02 UTC）。AWS 也說，10/17 與 10/21 清晨那些嘗試是否已在真實系統成功，當時仍不清楚。
有沒有在野利用
待查證各家說法
有：watchTowr 蜜罐、AWS（並稱修補後已被廣泛利用）、Cloudflare（外洩後的客戶流量）
— 各家部落格
截至 10/21 16:30 美東，未在客戶端看到
— Huntress
當時未記錄到針對比利時網站的攻擊
— 比利時 CCB（經 CTWANT、Mashable）
CISA 尚未觀察到
— Wikipedia（本站未讀全文）
官方或較可信的說法（對照）
蜜罐、WAF 與客戶端是不同視角。基金會在 14:00 UTC 發布當下說尚未看到可運作的公開 exploit，與「數小時前已有 PoC、能否成功仍待分析」可以並存。Wikipedia 關於 CISA 的說法待查證。
出處watchTowrAWS Security BlogCloudflare BlogHuntressCTWANTMashable
發現者名單有沒有 Quarkslab
待查證各家說法
揭露方是 Calif.io、Wiz、OpenAI、Quarkslab
— Cloudflare
官方或較可信的說法（對照）
基金會的 2026 年回報者是 Calif、OpenAI、Wiz。Quarkslab 是 2024 年稽核的執行單位。他們有沒有在 2026 年另案回報這兩個 CVE 待查證；不要把 2024 年的稽核直接寫成這次的發現者。
OpenAI 回報者姓名
待查證各家說法
Codex Security 的 Amy Burnett
— 本站整理時查到的說法；本站收錄的新聞摘要沒有這個人名
官方或較可信的說法（對照）
基金會只確認「OpenAI 於 8/11 獨立回報同一根因」。引用姓名時要註明，本站收錄的新聞裡還沒有出現。
成因
各家說法
把上傳進度功能寫成主要成因（具體機制本站不轉述）
— itnotetk（該摘要已自行標註與官方不符）
官方或較可信的說法（對照）
以 PHP 安全公告為準：CVE-2026-109618 是記憶體耗盡處理造成的記憶體破壞；CVE-2026-109619 是過期的全域狀態在記憶體釋放後仍被後續請求使用。關掉 session.upload_progress 只是一條已確認路徑的暫時緩解。
攻擊鏈開發者是 LCFR
待查證各家說法
LCFR 是攻擊鏈開發者
— 本站整理時查到指向 Tenable 的說法
官方或較可信的說法（對照）
蕃新聞有引 Tenable，沒有寫到 LCFR；本站收錄的 Tenable 常見問題摘要也沒有這個名字。基金會與原始研究點名的是 Calif（Ryan Austin）、OpenAI、Wiz。LCFR 是否另有角色待查證，不要寫進發現者名單。
cve.org 狀態
待查證各家說法
外洩到修補前後仍是 Reserved，NVD 未評分
— CyberQ（文章更新時間 2026-10-21 14:00 UTC）
官方或較可信的說法（對照）
這是那個時間點的紀錄。10/22 當天 cve.org 與 NVD 是否已改為公開並評分，本站收錄的新聞沒有後續核對。
GitHub advisory 是否 13:34 UTC 就公開
待查證各家說法
比官方 14:00 UTC 早 26 分鐘公開
— Wikipedia（經 PHP.net 摘要的時間註記，原條目標註 citation needed）
官方或較可信的說法（對照）
本站沒有 Wikipedia 全文，也沒有 GitHub advisory 的時間戳截圖。
出處PHP.net
ITmedia 的發布時間
待查證各家說法
部分報導的發布時間晚於內文所描述的事件時間
— 本站整理時發現；對應的《ワールドクエスト》停服報導沒有收進本站新聞
官方或較可信的說法（對照）
已收錄的那篇（コドモン等）發布時間為 2026-10-21 17:47 UTC，約日本時間 22:47，內文談的是當日 23:00 前後的預告維護，大致對得上。其他篇的時間戳待查證。不要把網站系統的發布時間直接當成關站時刻。
修補發布的美東時間
各家說法
約 10/21 09:30 美東釋出
— Huntress
官方或較可信的說法（對照）
官方排定並於 14:00 UTC 發布，等於美東 10:00。Huntress 的 09:30 視為約略，差了約 30 分鐘。
「七成網站」
各家說法
70%、七成，甚至「七成的網際網路」
— Wiz 標題與 CTWANT、香港01、AFR 等多家媒體
69%
— NBC
官方或較可信的說法（對照）
W3Techs 的原句是：已知伺服器端語言的網站有 69.3% 使用 PHP。香港經濟日報保留了「已知伺服器端語言」這個限定。不要寫成全世界七成的網站，或七成的網際網路。
出處Wiz ResearchCTWANT香港01Australian Financial ReviewNBC News香港經濟日報
有多少主機
各家說法
近 5,500 萬個跑 PHP 的網路資產
— Censys（NBC）
約 2,260 萬個暴露、可能受影響的實例
— Cortex Xpanse（蕃新聞引 Tenable）
約 150 萬台有回報版本號的主機，其中 59% 拿不到官方修補
— Mallory（CyberQ）
約 510 萬個相關 IP、約 130 萬台、約 190 萬台
— VirusTotal、Silas Cutler、Shodan（電腦王阿達轉述）
官方或較可信的說法（對照）
沒有單一官方總數。每家數的母體不同（資產、暴露實例、帶版本標頭的主機、IP）。NBC 引 Cutler：大家仍在從「所有 PHP 都有洞」往下縮小範圍。不要加總。
網際網路檔案館有沒有關站
待查證各家說法
短暫關閉
— Wikipedia（本站未讀全文）
DownDetector 有障礙回報，無法直接連結到這次更新；Asana 同樣只有障礙回報
— Mashable
官方或較可信的說法（對照）
寫成「有人回報打不開」，不要寫成已證實因 PHP 關閉。
出處Mashable
BBC 節目頁、Pokémon、GOG、Duolingo
各家說法
BBC 的 Doctor Who、The Traitors 頁面離線
— BBC（自己說未證實與 PHP 有關）
Pokémon 系列維護、GOG 維護、Duolingo 錯誤增加
— Mashable（未證實或對方未提及此漏洞）
官方或較可信的說法（對照）
放在「同時發生的中斷」，不要放進已確認名單。
4chan 是唯讀還是整個下線
各家說法
下線
— NBC
改為唯讀
— Mashable
官方或較可信的說法（對照）
對外不能正常使用這一點一致。精確狀態（唯讀或全關）依各篇，本站沒有收錄官方單一聲明。
白宮在做什麼
待查證各家說法
與主要 AI 實驗室合作加速修補
— BBC
評估對政府系統與關鍵基礎設施的影響
— 香港01
周五接獲通知（日期待查證）
— 衛報
白宮、NSA、FBI 敦促立即處理
— 香港經濟日報
官方或較可信的說法（對照）
側重不同。本站沒有白宮原文，不要合成成一篇不存在的聲明。
NCSC 的範圍用詞
各家說法
「任何版本的 PHP」都可能受影響
— 英國 NCSC
官方或較可信的說法（對照）
PHP 官方把風險對象寫成「服務網頁請求的安裝」，並點名 mod_php、FPM、php-cgi、FrankenPHP、LiteSpeed。命令列、不對外的 PHP 是否同等風險，官方摘要沒有單獨保證安全，也沒有說每一種執行方式都已展示可遠端執行程式。
「ini 完全沒用」
各家說法
「ini 設定救不了你。」
— 核心開發者 Joe Ferguson（電腦王阿達轉述）
「唯一的緩解就是打補丁或升級。」
— Gina Peter Banyard（電腦王阿達轉述）
官方或較可信的說法（對照）
官方同一立場的精確版是：沒有完整緩解，更新是唯一安全選擇；同時仍公布了只能降低特定路徑曝險的設定。那些設定不是在說系統已經安全。
名稱
各家說法
PHP2Shell、php2shell、PHP4Shell
— ICSDA 記兩種叫法；Wiz 說他們把攻擊腳本命名為 php2shell
官方或較可信的說法（對照）
新聞與官方公告都用 PHP2Shell 指這兩個 CVE，PHP4Shell 只是別名。Huntress 的 John Hammond 說「2shell」慣例通常指一個請求就能拿到 shell；Imperva 則說真正走到遠端執行的複雜度高。命名習慣不是官方的攻擊難度評分。
本站刻意不下結論的事
- 10 月 17 日的行為者是誰、如何在禁運期間得知利用方式：AWS 寫明不知道。
- 早期 PoC 在真實網站上的成功率：AWS 寫明分析仍在進行。
- 個別關站的網站是否已經遭到入侵：Mashable 與多國政府的說法都是預防性下線，沒有公開的「已被竊取資料清單」。