10 月是近年少見的「全面告急」月份：PHP 本身出現兩個遠端程式碼執行漏洞（PHP2Shell），同日 Node.js 也修補 Brotli 解碼 RCE；Drupal 核心 Field UI 出現嚴重 RCE，WordPress 外掛 Bricksforge 遭利用。所有跑 PHP 或 Node.js 的網站本月都需要處理。
本月重點一覽
| 項目 | 類別 | 嚴重度 |
|---|---|---|
| PHP2Shell：PHP 核心兩個 RCE（CVE-2026-109618、CVE-2026-109619） | PHP | 嚴重｜CVSS 9.2 |
| Node.js 10 月安全更新：Brotli 解碼越界寫入（CVE-2026-111497）等 10 個 CVE | Node.js | 高｜可能 RCE |
| Drupal 核心 Field UI 遠端程式碼執行（SA-CORE-2026-014／CVE-2026-108097） | CMS | 嚴重 19/25 |
| WordPress 外掛 Bricksforge 未登入上傳執行 PHP（CVE-2026-85097） | WordPress 外掛 | 嚴重｜CVSS 9.8｜已遭利用 |
| WordPress 7.1.3（7 項安全修補）與 7.1.4 | CMS | 中～高 |
PHP2Shell：PHP 核心兩個 RCE（CVE-2026-109618、CVE-2026-109619）
類別：PHP 嚴重度：嚴重｜CVSS 9.2
10 月 21 日 PHP 緊急釋出 8.5.12／8.4.27／8.3.36／8.2.35，修補「OOM 損毀造成 RCE」與「殘留全域狀態造成 RCE」。所有處理網頁請求的 PHP（PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed）都受影響。細節在 10 月 20 日提前外洩；PHP 基金會表示發布時未見可用攻擊程式，但 Amazon 威脅情資在 10 月 17 日的蜜罐中記錄到攻擊嘗試。官方也為 7.4／8.0／8.1 提供最小 source backport。
處置建議：立即升級 PHP；cPanel 主機請確認 EA-PHP／alt-php 各分支套件都已更新並重啟 PHP 程序（LiteSpeed 需刷新 lsphp）。PHP 8.1 以下已停止支援，請規劃遷移。
來源：PHP 基金會說明、Help Net Security
Node.js 10 月安全更新：Brotli 解碼越界寫入（CVE-2026-111497）等 10 個 CVE
類別：Node.js 嚴重度：高｜可能 RCE
10 月 21 日修補。node:zlib 內建 Brotli 解碼器在惡意輸入下越界寫入，可導致崩潰、記憶體洩漏或遠端程式碼執行（Akamai 稱 Node2Shell）。另有三個高風險 TLS／DNS 主機名驗證繞過（CVE-2026-105482、105483、106069），可讓不該通過的憑證被接受。
處置建議：升級到 v22.23.4／v24.22.1／v26.12.1。會解壓 Brotli 請求內容、或會抓取使用者提供網址的服務優先處理。
Drupal 核心 Field UI 遠端程式碼執行（SA-CORE-2026-014／CVE-2026-108097）
類別：CMS 嚴重度：嚴重 19/25
10 月 14 日發布（10 月 12 日先發 PSA 預告）。核心單獨無法直接利用，但搭配常見的社群模組有多條攻擊路徑，其中至少一條不需登入。同日另有兩則 XSS（SA-CORE-2026-015、016）。Drupal 10.6 以前、11.3 以前已停止支援，不會收到修補。
處置建議：升級到 10.6.19／11.3.19／11.4.10；無法立即升級時先解除安裝 field_ui 模組。
WordPress 外掛 Bricksforge 未登入上傳執行 PHP（CVE-2026-85097）
類別：WordPress 外掛 嚴重度：嚴重｜CVSS 9.8｜已遭利用
Bricks 建站器的商業外掛 Bricksforge，3.1.8.9 以前允許未登入上傳任意檔案並執行。Patchstack 觀測到 10 月 7 日起出現攻擊。
處置建議：升級到 3.1.8.10 以上，並掃描 uploads 目錄中的 PHP 檔。
來源：SecurityWeek
WordPress 7.1.3（7 項安全修補）與 7.1.4
類別：CMS 嚴重度：中～高
10 月 6 日 7.1.3 修補 7 項安全問題，同日也為 7.0 及 5.0～6.9 各分支發布回補版。10 月 28 日再發布 7.1.4 修正多項問題。
處置建議：升級到 7.1.4。
站長檢查清單
- PHP、Node.js、網頁伺服器（Apache／NGINX／LiteSpeed）與 cPanel 都要跟上各分支最新修補版，停止支援的版本（PHP 8.1 以下、Drupal 10.6／11.3 以前）要規劃遷移。
- WordPress、Drupal、Joomla 核心與外掛開啟自動安全更新；停用、刪除用不到的外掛。
- 定期檢查是否出現陌生的管理員帳號，uploads 目錄禁止執行 PHP。
- npm 專案鎖定版本、CI 停用安裝腳本；發生供應鏈事件時輪替所有憑證。
本文依各官方公告與資安廠商公開資料整理，版本與評分以原始公告為準；整理日期 2026-10-29。