先記三句話
- 問題出在網站背後一套很多人共用的「廚房」，不是你的網站哪一篇文章寫錯。
- 修好的版本已經在台灣時間 2026 年 10 月 21 日晚上 10 點（國際標準時間下午 2 點）推出。
- 很多網站暫時關門，多半是預防，不代表已經被偷資料。
把網站想成一間餐廳
你看得到的版面、圖片、按鈕，是餐廳的裝潢和菜單。廚房裡有一位主廚，叫做 PHP。每次有人打開網頁、按下「送出」，就像點了一道菜：主廚照著食譜做事，從冰箱拿出文章或訂單，再把做好的頁面端出去。
WordPress、購物車、學校報名表、公司官網，是不同的食譜，卻常常請同一種主廚。全世界有用這類「廚房」的網站裡，大約 69.3% 請的是這位主廚。
這次出問題的不是哪一份食譜，而是主廚本身的基本功：忙到工作台堆滿、或做到一半出狀況時，他可能只收拾一半，就去接下一位客人。有心人可以趁這個混亂，叫主廚去做菜單上沒有的事。
有多嚴重？
嚴重的情況下，外人不用帳號、不用進機房，就可能指揮你的網站主機做事：看走資料、改掉網頁、留下一扇以後還能進來的後門。
還有一種比較安靜的情況。外人沒有在網站裡留下新的東西，卻可能偷看到主廚工作台上、別桌客人暫時放下的單據。那些單據可能是密碼、登入時用的證明，或網站拿去對接其他服務的鑰匙。所以「沒有被放進奇怪的程式」不等於這些東西還安全。
這不只發生在 WordPress。學校常用的 Moodle、自己架的雲端硬碟 Nextcloud、維基百科背後的系統，還有只會說一句哈囉的最簡單網頁，只要請的是這位還沒更新的主廚，都算在裡面。購物車用的 Drupal、Joomla 也一樣。問題在主廚，不在哪一份食譜。
官方給的嚴重分數是 9.2 分（新聞裡流傳的「10 分」是消息外流時的錯誤數字）。這已經是「請立刻處理」的等級。而且這個問題藏了很多年，從很舊的版本就存在，所以舊網站也跑不掉。
為什麼全世界很多網站在關門？
因為換主廚需要時間，而問題已經被很多人知道。修好的版本推出前一晚，消息就先流傳出去；美國、英國的資安單位都建議：來不及更新，就先暫停對外。
所以你看到網站暫停服務、論壇改成只能看，多半是店家自己先拉下鐵門。關門是為了不要被闖入，不是承認已經被闖入。
注意：網站後台自己的「維護模式」（畫面寫「系統升級中」那種）擋不住這次的問題，因為事情發生在網站程式開始動作之前。要嘛真正更新，要嘛請主機商直接讓網站暫停對外。