我們對近期安全性事件的因應：PHP CVE-2026-109618/CVE-2026-109619 與 eMudhra 中繼 CA 憑證洩露
本週公布了兩起嚴重的安全性事件：PHP 核心的兩個弱點，以及 eMudhra 中繼 CA 憑證遭到洩露。本文說明這些事件對我們的網站和 EmEditor 的影響、我們已採取的措施，以及我們建議你採取的措施。
摘要
- 我們的網站不受 PHP 弱點影響。 我們的 WordPress 網站所執行的 PHP 已經套用修補程式，而且我們只發布靜態頁面。
- EmEditor v22.3 到 v26.3 受 eMudhra 中繼 CA 憑證洩露 (eMudhra Intermediate CA Compromise) 影響，原因是為語言伺服器通訊協定 (LSP) 功能隨附的 Node.js。這是唯一受影響的部分。
- 請將 EmEditor 更新至最新版本，目前為 v26.4.0。 最新版本包含已修正此問題的 Node.js v26.12.1。
1. PHP 弱點 CVE-2026-109618 與 CVE-2026-109619
2026 年 10 月 21 日，PHP 專案公布了 PHP 核心的兩個嚴重弱點：CVE-2026-109618（透過記憶體不足時的損毀達成遠端程式碼執行）和 CVE-2026-109619（透過過時的全域狀態達成遠端程式碼執行）。這兩個弱點都可能使處理 Web 要求的 PHP 環境遭受無需驗證的遠端程式碼執行。
我們的網站使用 WordPress 建置，而 WordPress 執行於 PHP 之上。我們的網站透過以下三種方式受到保護：
- 我們的 WordPress 網站的 PHP 已經套用針對 CVE-2026-109618 和 CVE-2026-109619 的最新修補程式。
- 我們的 WordPress 網站會匯出為靜態頁面，我們只發布這些靜態頁面。公開的網站不執行 PHP。
- 來源 WordPress 網站已封鎖除我們辦公室以外的所有 IP 位址的存取。
Emurasoft 客戶中心及我們的其他網站不使用 PHP，不受影響。
2. eMudhra 中繼 CA 憑證洩露 (eMudhra Intermediate CA Compromise)
2026 年 10 月 20 日，eMudhra 中繼 CA 憑證洩露 (eMudhra Intermediate CA Compromise) 遭到公開。eMudhra 的 8 個中繼 CA 憑證的私密金鑰已遭洩露。這些中繼 CA 連結到主要作業系統和瀏覽器信任的根憑證，因此持有其中任一私密金鑰的攻擊者，可以對仍然信任它們的用戶端冒充任何網站或服務。這些中繼 CA 憑證已被撤銷，但不檢查撤銷狀態的用戶端需要更新軟體。
2-1. EmEditor 中受影響的部分
EmEditor 為 語言伺服器通訊協定 (LSP) 功能使用 Node.js，而 Node.js 受到了此事件的影響。在 v22.3（2023 年 4 月 11 日發布）到 v26.3（2026 年 10 月 7 日發布）之間（含兩者）發布的所有 EmEditor 版本都包含 Node.js，因此均受影響。這適用於 Professional 版和 Free 版，也適用於 64 位元版和 32 位元版。
在 EmEditor v26.4 中，我們已將 Node.js 更新至解決此問題的 v26.12.1。
2-2. EmEditor 的其他部分不受影響
我們對 EmEditor 的全部原始程式碼進行了安全性掃描，發現 LSP 是唯一受影響的部分。只要你的 Windows 系統已安裝最新更新，EmEditor 的其他部分就不存在弱點：
- EmEditor 使用 Windows 的 CA 憑證，而不是自帶憑證，因此會使用 Microsoft 已透過 Windows 發布的撤銷資訊。
- WebPreview 和 ChatAI 外掛程式使用你的系統上安裝的 Microsoft Edge。
- 我們的 TLS 憑證和程式碼簽章憑證均不是由 eMudhra 頒發的。EmEditor 的數位簽章和我們網站的憑證不受影響。
3. 我們的建議
- 將 EmEditor 更新至最新版本，目前為 v26.4.0。 如果你使用舊版 MSI 安裝程式，請選擇 說明 > 檢查更新，或下載最新版本。如果你直接下載 MSI 安裝程式，請確認其數位簽章由 Emurasoft, Inc. 頒發。
- 讓 Windows 和網頁瀏覽器保持最新狀態，包括 WebPreview 和 ChatAI 外掛程式使用的 Microsoft Edge。
如果你有任何問題，請聯繫我們。
感謝你一直以來對 EmEditor 的支持。
—— Yutaka Emura
