PHP
AI 協助發現PHP 已修補 CVE-2026-109618 與 CVE-2026-109619。修補版本為 8.5.12、8.4.27、8.3.36、8.2.35；Calif 在 8 月發現問題，10 月完成協調公開。
第一手來源 ↗ RESEARCH 002 / THE RESPONSE GAP
2024 → 2026 · 公開資料整理 · 更新於 2026.10.22
Protico - Community Intelligence
PHP、Node.js 與憑證安全接連告警。 AI 時代，企業還剩多少反應時間？
2026 年 10 月，PHP、Node.js 安全更新與 eMudhra 中繼憑證事件接連公開。Protico Labs 整理事件時間線、公開漏洞數據、AI 輔助研究與企業損失，檢視從第一聲警報到完成應變，企業需要處理哪些問題。
看看資料怎麼說 ↗透過 Community Intelligence 第一時間接收未來更多提醒THREAT SIGNAL / 2024–2026
+361.3%
2026 年 10 月 1–21 日 · 對比 2025 同期
2,719 → 12,543
公開漏洞月增量2024 → 2026
THE RESPONSE GAP資料觀測 2024.01–2026.10.21 · 研究更新 2026.10.22
01 / CONTEXT
48 小時內，全球網路基礎設施接連響起警報。
2026 年 10 月 20–21 日，PHP、Node.js 安全更新與 eMudhra 中繼憑證事件接連公開，牽動網站運行、連線信任與應用程式更新。企業需要在同一時間掌握多個技術環節的風險與處理進度。
eMudhra
跨產品信任更新八張中繼憑證的弱私鑰引發跨產品信任更新，牽動瀏覽器、系統與網站連線。
第一手來源 ↗Node.js
四項高風險漏洞十項 CVE：四高、三中、三低，包括 Brotli 解碼器遠端程式碼執行漏洞 CVE-2026-111497。官方發布 26.12.1、24.22.1、22.23.4，並更新依賴套件與憑證信任。
第一手來源 ↗這一波公告涵蓋軟體漏洞修補、憑證信任更新與依賴套件調整。Node.js 同次更新也處理了 eMudhra 憑證信任問題。
02 / OBSERVATORY
AI 模型持續推進，漏洞公開量加速攀升。
2026 年 10 月 1–21 日，NVD 公開 CVE 為 12,543 筆，去年同期為 2,719 筆，增至約 4.6 倍。圖表將 33 個完整月份、10 月截至 21 日的紀錄與 AI 模型發布里程碑放在同一條時間軸上；10 月以斜線標示，隨月份推進累計。
+361.3%2026 年 10 月 1–21 日對比 2025 同期
公開漏洞紀錄
2,719 → 12,54312,543
本月累計公開 CVE
2026/10/01–10/21 · UTCCVE 公開紀錄 / 新增紀錄2024.01 — 2026.10 · 截至 10/21
依 NVD 公開日期與 noRejected 條件查詢。10 月統計截至 21 日（UTC）；來源回補及紀錄狀態調整會更新數量。 斜線柱為 10 月 1–21 日累計；三個月移動平均計算至 9 月。
查看數值表與資料缺口
| 期間 | CVE | CISA KEV | 期間累積 CVE |
|---|---|---|---|
| 2024-01 | 2,594 | 21 | 2,594 |
| 2024-02 | 2,778 | 9 | 5,372 |
| 2024-03 | 3,309 | 10 | 8,681 |
| 2024-04 | 3,621 | 10 | 12,302 |
| 2024-05 | 4,999 | 14 | 17,301 |
| 2024-06 | 3,078 | 9 | 20,379 |
| 2024-07 | 3,113 | 14 | 23,492 |
| 2024-08 | 2,896 | 19 | 26,388 |
| 2024-09 | 2,514 | 25 | 28,902 |
| 2024-10 | 3,564 | 17 | 32,466 |
| 2024-11 | 4,056 | 22 | 36,522 |
| 2024-12 | 3,431 | 16 | 39,953 |
| 2025-01 | 4,275 | 14 | 44,228 |
| 2025-02 | 3,673 | 27 | 47,901 |
| 2025-03 | 3,998 | 32 | 51,899 |
| 2025-04 | 4,034 | 15 | 55,933 |
| 2025-05 | 3,980 | 24 | 59,913 |
| 2025-06 | 3,681 | 20 | 63,594 |
| 2025-07 | 3,776 | 20 | 67,370 |
| 2025-08 | 3,628 | 15 | 70,998 |
| 2025-09 | 4,321 | 16 | 75,319 |
| 2025-10 | 4,273 | 31 | 79,592 |
| 2025-11 | 3,021 | 11 | 82,613 |
| 2025-12 | 5,491 | 20 | 88,104 |
| 2026-01 | 4,302 | 17 | 92,406 |
| 2026-02 | 4,616 | 28 | 97,022 |
| 2026-03 | 6,234 | 26 | 103,256 |
| 2026-04 | 5,810 | 31 | 109,066 |
| 2026-05 | 6,936 | 21 | 116,002 |
| 2026-06 | 7,942 | 23 | 123,944 |
| 2026-07 | 9,770 | 26 | 133,714 |
| 2026-08 | 12,258 | 31 | 145,972 |
| 2026-09 | 14,933 | 43 | 160,905 |
| 2026-10 · 10/1–21 · 月份尚未結束 | 12,543 | 24 | 173,448 |
CVE 直接採 NVD API 的公開日期查詢；KEV 依 CISA 官方目錄計算。資料於 2026-10-22 取得，10 月統計至 21 日（UTC），同期比較採兩年相同的 21 天。
選一個模型，檢視相鄰月份
選定模型公告及開放里程碑；各項存取型態與日期附於來源。
發布前 3 個完整月平均3,683.72024-10 → 2024-12
發布後 3 個完整月平均3,901.72025-02 → 2025-04
變化 · CVE+5.9%open weights + API
比較發布前後各3個完整月的平均新增量，發布月另列。這項描述性觀測呈現模型里程碑周邊的數量變化；進一步分析所需變項詳見研究方法。
03 / THE RESPONSE CLOCK
漏洞找到了，更新為什麼還要等？
Calif 使用 GPT-5.6 Sol 研究 PHP 漏洞。從 8 月發現問題，到 10 月發布修補，中間經過通報、重現問題與協調發布。這條時間軸整理了研究團隊與維護者各自在什麼時候完成了哪一步。
此案例的發現至修補間隔為 81 天。時間軸依 Calif 研究紀錄、CERT-EU 修補公告與 OpenAI 說明整理。
04 / GLOBAL CASES
從台灣到全球，企業服務鏈上的共同風險。
91APP 的公告呈現電商資料庫受到的影響；Zeabur 的調查涉及多個區域的部署環境，Railway 則揭露環境變數可能遭到存取。從台灣企業熟悉的商務服務延伸到雲端基礎設施，這些案例反映企業資料、帳戶憑證與上游服務之間的連動。
91APP
91APP 表示 Commerce Cloud 資料庫受到自動化攻擊，部分資訊遭擷取。
公司啟動第三方調查，並透過 Email 通知受影響客戶與提供處理協助。
第一手來源 ↗Zeabur
Zeabur 確認環境變數與帳戶資料遭讀取；調查指出內部憑證輪換不完整。
事件涉及多個區域的雲端環境，也包含可存取上游服務的憑證與 API 金鑰。
第一手來源 ↗Railway
Railway 調查指出，未授權第三方可能取得部分環境變數的解密內容。
10 月 22 日續報：Railway 已重設儲存桶憑證，用戶需重新部署儲存桶服務、重新連結 GitHub，並自行在 GitHub 撤銷已從 Railway 移除的 registry token。
第一手來源 ↗ · Railway · 2026.10.22 ↗JAPAN / 2026.10.21
資安警訊直達國家領導層級。
2026 年 10 月 21 日，日本首相高市早苗透過 X 公開示警，呼籲網站管理者確認 PHP 使用情況，並準備儘速套用針對兩項重大漏洞的修補；貼文當時預告的發布時間為日本時間當晚 23 時。
閱讀原貼文 ↗
05 / SPENDING & INCIDENT COSTS
資安支出看增，企業披露外洩與復原成本。
IDC 的市場預測、IBM／Ponemon 的外洩研究與 M&S 財報，分別呈現資安支出規模、事件平均成本及單一企業的復原費用。
資料查閱：2026.10.22
企業事件成本IBM / Ponemon · 2026 年樣本調查 M&S · 截至 2026.03.28 的年度財報
外洩平均成本與企業認列費用
每次資料外洩的樣本平均成本
US$4.99M研究涵蓋 602 家在 2025 年 3 月至 2026 年 2 月發生外洩的組織。其中，涉及 AI 的惡意外洩事件，樣本平均成本為 US$6M。
IBM · 2026.07.29 ↗已認列的事件相關成本
£131.3M這筆費用涵蓋系統應變、復原與專業支援。M&S 另列 £100M 保險理賠；銷售及營運中斷影響另於財報說明。
M&S · 2026.05.20 ↗三組數字依全球市場、跨企業樣本與單一企業財報分列，金額保留原幣別。
06 / OPEN METHODOLOGY
資料如何收集與整理。
資料來源與整理方式
Protico Labs 的資料來源
本專題使用美國國家漏洞資料庫（NVD）、CISA 與 CVE Program 的官方資料，並整理當事公司、研究團隊和官方機構的事件公告。以下列出原始檔、收集日期與計算方式。
月度 CVE｜NVD 官方 API
依 NVD API 的 UTC 公開日期查詢每月紀錄，加入 noRejected 參數排除已撤回紀錄，採回應中的 totalResults 計數。原始 API 回應隨資料包提供。
API 資料擷取日 · 2026-10-22
開啟來源 ↗CISA KEV｜官方目錄
依官方 CSV 的 dateAdded 按月統計新增收錄，每個 CVE ID 一列；收錄時間以 CISA 目錄記載為準。
最新收錄日 · 2026-10-20
開啟來源 ↗CVE 季度｜官方對照
保留 CVE Program metrics JSON 的原始季度值，作為獨立對照，並列月度加總與兩者差額。
此快照已公布至 · 2026-Q2
開啟來源 ↗資料收集與整理流程
下載並保存原始檔
保存 NVD API 的逐月回應、兩個年度 10 月 1–21 日的查詢回應、CISA CSV 與 CVE Program 季度 JSON，記錄查詢範圍、取得日期與 SHA-256，供讀者核對。
對齊月份與比較天數
完整月序列為 2024-01 至 2026-09，共 33 個月；圖表另列 2026-10-01 至 2026-10-21 的當月進度。上方年增率比較 2025 與 2026 年的 10 月 1–21 日，兩邊各 21 天。
核對統計與事件記錄
程式核對月數、累積值、同期比較、CSV 與季度資料。企業案例則依原始公告記錄發現、公開、修補日期，以及來源對 AI 參與方式的描述。
圖上的數字怎麼讀
- CVE 是什麼？
- 公開漏洞的共同識別紀錄。本圖依 NVD 記錄的 CVE 公開日期（UTC）統計新增紀錄，排除已撤回的紀錄。
- KEV 是什麼？
- CISA 已知遭利用漏洞目錄，收錄具利用證據的漏洞。本圖依 dateAdded，統計每月新增收錄；與 CVE 公開量各自呈現。
- 單月同期怎麼比？
- 比較 2026 年 10 月 1–21 日與 2025 年 10 月 1–21 日。CVE 為 12,543 對 2,719 筆，增加 361.3%。計算方式為（本期／前期−1）×100%。
- 模型前後怎麼比？
- 以模型公告／開放所在月 m 為界，發布月另列。x[m] 表示該月所選指標的數量。前期平均＝(x[m−3]＋x[m−2]＋x[m−1])／3；後期平均＝(x[m＋1]＋x[m＋2]＋x[m＋3])／3。變化率＝(後期平均／前期平均−1)×100%。兩側各有三個完整月時，才呈現變化率。
- 曲線怎麼畫？
- 柱狀顯示月數，10 月另以部分月份柱呈現截至 21 日的數量。移動平均只採完整月，為當月與前兩月的算術平均，最初兩點以當時可用月份計算；模型前後比較同樣只採完整月。累積模式從 2024-01 起相加，10 月柱加上當月已收錄數量。
- 如何繼續分析？
- 模型時間軸提供描述性對照；因果研究需要比較組、收錄方式與同期因素。全球事件頻率需要一致的收錄範圍。市場支出採 IDC 2026-03-03 預測；企業成本各自保留幣別與期間。
名詞來源: NVD ↗ · CVE Program ↗ · CISA ↗
下載資料與計算程式
想自己核對數字，可以下載完整資料包。解壓縮後執行下方的 Python 3 指令，就能檢查檔案是否一致，以及月數、累積值、單月同期與季度對照。CSV 收錄 33 個完整月份，另加 1 列 10 月進度。程式只使用包內的資料，可離線執行。
完整資料包 · ZIP ↓原始 API 回應與資料快照
- nvd/2024-01.json ↓
- nvd/2024-02.json ↓
- nvd/2024-03.json ↓
- nvd/2024-04.json ↓
- nvd/2024-05.json ↓
- nvd/2024-06.json ↓
- nvd/2024-07.json ↓
- nvd/2024-08.json ↓
- nvd/2024-09.json ↓
- nvd/2024-10.json ↓
- nvd/2024-11.json ↓
- nvd/2024-12.json ↓
- nvd/2025-01.json ↓
- nvd/2025-02.json ↓
- nvd/2025-03.json ↓
- nvd/2025-04.json ↓
- nvd/2025-05.json ↓
- nvd/2025-06.json ↓
- nvd/2025-07.json ↓
- nvd/2025-08.json ↓
- nvd/2025-09.json ↓
- nvd/2025-10.json ↓
- nvd/2025-11.json ↓
- nvd/2025-12.json ↓
- nvd/2026-01.json ↓
- nvd/2026-02.json ↓
- nvd/2026-03.json ↓
- nvd/2026-04.json ↓
- nvd/2026-05.json ↓
- nvd/2026-06.json ↓
- nvd/2026-07.json ↓
- nvd/2026-08.json ↓
- nvd/2026-09.json ↓
- nvd/2025-10-01-21.json ↓
- nvd/2026-10-01-21.json ↓
- kev_official_raw.csv ↓
- cve_official_metrics_raw.json ↓
在上述資料夾執行
python3 reproduce_counts.py引用這份研究
請附上專題名稱、資料擷取日、所用指標／期間，以及此頁連結。引用圖表時一併保留來源口徑；引用個案時再附該案例的第一手公告。
Protico Community Intelligence，〈PHP、Node.js 與憑證安全接連告警。AI 時代，企業還剩多少反應時間？〉（The Response Gap），資料擷取日 2026-10-22；2024-01 → 2026-09; 2026-10-01 → 2026-10-21 月度公開 CVE／CISA KEV。
歡迎補充資料，也分享你的看法
有值得加入的事件，或想再確認的數字嗎？歡迎到大廳分享。附上相關段落、月份與來源，其他讀者也能一起查閱；也可以透過 Email 提供資料。
或以 Email 聯絡 ↗關於這個頁面的字體 · 品牌字樣沿用 Labs 的 Inter 字體，檔案由本站提供，採 SIL Open Font License。正文使用裝置內建無襯線字體，數字和標籤使用等寬字體。如果動畫讓你分心，可以隨時關掉。
01 / 資料從哪裡來
漏洞數量採公開資料庫；企業事件採當事公司的公告。CVE 公開紀錄、KEV 新增收錄與企業案例各自呈現，保留原有計數單位。
02 / 日期怎麼選
月圖並列完整月份與本月截至 21 日的紀錄，並保留資料擷取日。10 月同期比較採兩年相同的 21 天；事件另記發現、公開與修補日期。
03 / AI 模型怎麼放進圖裡
模型日期依官方公告與開放紀錄整理。發布前後各三個完整月的平均值，用來描述相鄰月份的數量變化；原因分析還需要納入收錄方式與其他同期因素。
04 / 案例怎麼選
採用公司或研究團隊已公開說明的事件，整理受影響的系統、資料及處理進度，並保留已確認、可能受影響與調查中的區別。
05 / 金額怎麼讀
每個數字保留年度、幣別與來源，並標示估計、預測或公司已披露的影響。市場支出、研究樣本與企業損失依各自統計範圍並列呈現。
06 / 歡迎補充哪些資料
完整的通報、通知送達與修補紀錄，可以協助整理企業處理事件的時間。歡迎透過討論區分享可公開引用的資料與來源。
官方季度數據對照
CVE.org與NVD衍生研究各依其收錄狀態、時間與快照彙整。下表保留兩組數值及差額；官方2026Q3待更新。
| 季度 | 月資料加總 | CVE 官方季度值 | 差額 |
|---|---|---|---|
| 2024-Q1 | 8,681 | 8,697 | -16 |
| 2024-Q2 | 11,698 | 11,716 | -18 |
| 2024-Q3 | 8,523 | 8,591 | -68 |
| 2024-Q4 | 11,051 | 11,073 | -22 |
| 2025-Q1 | 11,946 | 12,009 | -63 |
| 2025-Q2 | 11,695 | 11,701 | -6 |
| 2025-Q3 | 11,725 | 11,738 | -13 |
| 2025-Q4 | 12,785 | 12,796 | -11 |
| 2026-Q1 | 15,152 | 15,163 | -11 |
| 2026-Q2 | 20,688 | 20,709 | -21 |
展開來源與資料版本
- CVE publications · NIST NVD API · retrieved 2026-10-22
- CISA KEV · official 2026-10-21 snapshot
- CVE official quarterly reference · separate series
- PHP · official release archive
- Calif · discovery and disclosure timeline
- CERT-EU · advisory 2026-018
- OpenAI · AI-assisted PHP discovery
- Mozilla · eMudhra intermediate certificates
- Cloudflare · eMudhra incident response
- Node.js · October 21 security release
- Zeabur · October incident investigation
- 91APP · Commerce Cloud statement
- Railway · October 21 disclosure
- Sanae Takaichi · public statement
- EuRepoC · scope and incident data
- University of Maryland · Cyber Events Database and collection changes
- IDC · March 3, 2026 security spending forecast
- IBM / Ponemon · July 29, 2026 breach cost study
- Marks & Spencer · FY2026 results
- PwC · 2027 Digital Trust Insights · published October 1, 2026
- Railway · October 22 credential reset and service recovery guidance
07 / 服務政策與用戶溝通
資安預算要跟上，對用戶的承諾也要跟上。
資安事件也牽動企業與用戶之間的責任和信任。Protico 關注服務條款、隱私說明與內部流程如何回應這些變化，並依 NIST、CISA 等機構的公開指引，整理通知、權責與支援管道的五個面向。
- 01
重新與客戶、用戶確認事件應對策略。
與客戶和用戶重新確認事件發生時的標準應對流程：什麼情況啟動、誰負責處理、透過哪個管道聯絡，以及何時提供後續消息。服務中斷時，也要能找到聯絡窗口，掌握影響範圍與處理進度。
- 02
把彼此要做的事寫清楚。
公司負責哪些安全更新、帳號保護與資料維護？用戶何時需要更新裝置、重設憑證或確認異常登入？用簡單例子說明，讓條款能真的拿來用。
- 03
持續掌握第三方工具的資安規範與標準。
持續檢視第三方服務與 AI 工具的資安要求、資料用途、存取權限，以及事件通知與支援安排。供應商調整功能、條款或安全措施時，同步確認對現有使用方式的影響，更新內部規則與應對流程。
- 04
讓受影響的人知道怎麼求助。
把帳號復原、資料查詢、更正或刪除的申請方式，以及申訴管道放在容易找到的地方。更新條款時，也要保留用戶依法享有的權益。
- 05
和同事一起走一遍流程。
用真實工作情境練習：收到可疑訊息、帳號被接管，或供應商發出警報時，誰先接手？客服、產品、法務和資安一起演練，再把卡住的地方改掉。
Protico Community Intelligence 將分散在社群裡的訊號整理成企業可追蹤的資訊，協助負責團隊查證與回應，讓對外承諾接上日常作業。
服務政策與溝通指引來源
- NIST SP 800-61 Rev. 3 — Incident Response Recommendations ↗
- NIST Cybersecurity Framework 2.0 ↗
- U.S. and International Partners Publish Secure-by-Design and -Default Principles and Approaches ↗
- NIST AI 600-1 — Generative Artificial Intelligence Profile ↗
- 台灣個人資料保護法：第 3、8、12 條及生效狀態 ↗
- Effective steps to cyber exercise creation ↗
給媒體、創作者與研究者
把這份資料帶進你的報導。
歡迎引用、翻譯或改編 Protico 原創的文字、分析與圖表，包含商業媒體使用。標明「Protico Community Intelligence」、附上原文連結與資料日期；有修改或翻譯，也請一起註明。符合這些條件，就不需要另外申請。
包內有什麼
四語參考摘要、來源索引、數字定義、可編輯圖表與檔案清單。適合放進報導、簡報或交給研究工具繼續閱讀。
下載媒體與 Agent 資料包 ↓
- 資料快照
- 2026-10-22
- 完整月份
- 2024-01 → 2026-09
可以直接使用的引用方式
資料整理與分析：Protico Community Intelligence — PHP、Node.js 與憑證安全接連告警。AI 時代，企業還剩多少反應時間？ · 資料截至: 2026-10-22 · https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/zh-hant/
如有翻譯、節錄或修改，請加註。
授權只涵蓋 Protico 原創內容。第三方報告、資料集、社群貼文截圖與標誌，仍依各自的授權或其他合法使用依據處理；這份資料包提供來源連結，不代替原作者授權。 閱讀授權範圍 ↗
POWERED BY COMMUNITY INTELLIGENCE
Community Intelligence，
比你想的更有力量。
社群裡的經驗、提問與風險訊號，能成為企業理解變化的重要資訊。Protico Community Intelligence 串起分散的討論與公開來源，幫助團隊找到與業務相關的線索，及早判斷並採取行動。