PHP爆十多年最嚴重漏洞，連阿部寬官網都罕見維護　AI掀全球資安攻防戰

PHP是什麼？

PHP是網站後台最常見的程式語言，WordPress就是用它寫成。根據 W3Techs 2026年10月的統計，在能辨識後台語言的網站中，69.3%使用 PHP。

問題在於很多網站從沒更新過。同一份統計顯示，PHP 7系列占27.0%，PHP 5 系列占7.7%，合計約35%的 PHP 網站跑在官方早已停止維護的舊版本上。資安公司 Mallory 掃描發現，約88.4萬台連上網路的主機顯示自己跑 PHP 8.1或更舊版本，這些版本不會收到官方修補。

據BleepingComputer報導，VirusTotal 估計全球約有510萬台 PHP 主機暴露在網路上。

漏洞嚴重是最高「緊急」等級

PHP2Shell是兩個漏洞的合稱，編號為CVE-2026-109618 與 CVE-2026-109619。PHP 開發團隊給出的嚴重度是 CVSS v4.0 的 9.2 分（滿分 10），屬於最高的「緊急」等級。

用比較好懂的說法，PHP 在處理一筆網頁請求時，如果請求異常中斷，記憶體可能被留在損壞狀態。攻擊者可以故意製造這種狀況，再趁虛而入，在伺服器上執行自己的程式。整個過程不需要登入帳號。

第一個漏洞與記憶體耗盡有關，第二個則會讓已經釋放的記憶體被重複使用，還可能洩漏記憶體內容。PHP安全團隊表示，所有對外提供網頁服務的PHP安裝都受影響，其中以Apache搭配mod_php的架構風險最高。

據《華爾街日報》的報導，攻擊者只要對PHP伺服器送出數十次請求就可能得手。小型系統幾秒內就可能被攻破，複雜系統也只需要幾個小時。PHP維護團隊的資安工程師 Volker Dusch形容，這是PHP十多年來最嚴重的安全問題，並拿它與2014年的Heartbleed漏洞相比。當年Heartbleed迫使全球管理員緊急修補數十萬台伺服器。

一旦被攻破，攻擊者可以控制伺服器、竊取資料，甚至在網站上動手腳，轉而攻擊來訪的訪客。

🚨 PHP2Shell attackers accessed MFA secrets and password hashes at a European government entity in just 2 hours. That's not all. → Signs of agentic AI use in post-exploitation activity → Suspected Lazarus-linked operators scanning 216 targets worldwide Full details ↓ https://t.co/oz42LO1zla

這一次，AI 徹底改變了資安攻防

這次漏洞的發現過程，是近期 AI 改變資安生態的代表案例。

2026年8月，資安公司 Calif 的研究員 Ryan Austin 在檢查 PHP 原始碼時發現問題，過程中借助了 OpenAI 的模型 GPT-5.6 Sol。8月11日，Calif 執行長 Thai Duong 打電話給 Volker Dusch 示警。之後 Google 旗下的 Wiz 團隊與 OpenAI 研究團隊也各自找到相關攻擊方式，研究人員與 PHP 工程師組成非正式小組，著手修補。

這次修補牽涉近200個檔案，開發人員寫了超過一萬行程式碼。Wiz 共同創辦人 Ami Luttwak 認為，PHP2Shell 是目前透過 AI 發現最嚴重的漏洞，複雜到沒有 AI 可能很難找出來。

原本的計畫是10月22日公開。但10月20日，論壇 Hacker News 上出現一則貼文，聲稱將揭露2個 PHP 遠端執行漏洞，CVE 編號也跟著在網路上流傳。據 The Hacker News 報導，PHP 同日晚間發出預告，把修補提前到10月21日 UTC 14:00 發布，也就是日本時間晚上11點、台灣時間晚上10點。

日本首相深夜發文，企業連夜停機

修補程式發布前約 1 小時，日本首相高市早苗在個人 X 帳號發文。據 ITmedia NEWS 報導，她在貼文中寫下「今夜に対応して頂きたい大至急のお願い」，大意是「希望各位今晚就處理的緊急請求」。

日本經濟新聞報導指出，高市要求企業在修補程式公開後盡快套用，並寫道請企業事先準備好，以便盡快更新。她也提到，難以立即套用修補時，暫停網站是「リスクを低減させるための有効策のひとつだ」，即降低風險的有效做法之一。日本國家網路安全統括室同樣在 X 上發出提醒。

皆様に、今夜に対応して頂きたい大至急のお願いです。 多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。 公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。 修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。 国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

一國首相親自為一個軟體漏洞發文，在日本被形容為「異例」。部分工程師給了正面評價，認為首相出面喊話，讓不懂技術的經營層也能理解事情的嚴重性。

日本企業的反應很快。據 ITmedia 與ビジネス+IT 報導，網路開店平台 BASE、幼兒園管理服務コドモン、插畫社群 pixiv、影音平台ニコニコ、主機商さくらインターネット都暫停全部或部分服務。Cygames 旗下手遊《賽馬娘 Pretty Derby》與《Shadowverse: Worlds Beyond》也進入緊急維護，財務省則先暫停了部分網頁。

不只日本，全球同步拉警報

歐洲也動起來了。據 BleepingComputer 報導，英國國家網路安全中心（NCSC）要求機構立即更新，修補前可先讓系統離線。The Hacker News 報導則指出，歐盟電腦緊急應變小組 CERT-EU 建議，若無法馬上修補，可考慮先把對外的網站服務從公開網路隔離。

Cloudflare 在官方部落格表示，已觀察到針對客戶的攻擊流量，攻擊者還會改寫攻擊手法嘗試繞過防護。Cloudflare 從 UTC 時間10月21日凌晨 3:02 開始自動部署防火牆規則，免費方案用戶也涵蓋在內。不過 Cloudflare 也強調，這只是多一層防護，網站仍須盡快更新 PHP 本身，只更新網站程式或外掛救不了這個漏洞。

據 The Hacker News 整理，資安公司 watchTowr 指出，截至10月21日還沒有已知的實際利用案例，美國 CISA 也尚未把這2個漏洞列入「已知遭利用漏洞」清單。但從過往經驗看，2024 年 PHP 另一個重大漏洞 CVE-2024-4577 公開後，Akamai 在24小時內就觀察到攻擊嘗試，這次修補前就已有攻擊流量，時間壓力只會更大。

工程師：是不是世界末日要來了

這週工程師社群還有另一個警訊。PHP 修補的同一天，另外 2 個常見的網站開發工具也發布了安全更新。

據 Cybersecurity News 報導，Node.js 在10月21日為 26.x、24.x、22.x 版本修補10個漏洞，其中4個屬高風險。最嚴重的 CVE-2026-111497 出現在負責解壓縮資料的元件，可能被用來遠端執行程式。Go 語言同週也傳出發布安全更新，但目前僅見加密貨幣交易所 KuCoin 的快訊轉述，尚未能從Go官方公告確認細節。

Node.js 的問題嚴重程度不及 PHP2Shell，但同一週接連出現修補，有工程師在社群上苦笑問，是不是世界末日要來了。

為什麼這次這麼嚴重？

PHP 普及是一個原因。另一個原因是，漏洞從被修補到被大規模利用的時間差，正在快速縮短。

Thai Duong 在8月示警時就提醒 PHP 團隊，修補程式一公開，可能馬上有人丟給 AI 分析，反推出攻擊腳本。如果攻擊者真能借助 AI 快速研究修補內容，從修補公開到出現攻擊的時間差勢必縮短。這也說明為何各國機構都要求立即更新，管理員已經沒有「下週排程更新」的餘裕。

但同時 AI 也站在防守方。這次漏洞就是靠 AI 協助找到，Anthropic 也在10月 20日推出 OSS Scanner，為重要開源專案提供免費的定期漏洞掃描。可以預期，接下來會有更多藏在老程式碼裡的漏洞被翻出來，修補量也會跟著增加。

真正棘手的是那 35% 跑舊版 PHP 的網站。PHP 8.1及更舊版本不再獲得官方更新，官方只為7.4、8.0、8.1 提供最基本的原始碼修補，需要網站自行編譯。許多中小企業、政府機關與學校的老系統，可能連自己用哪個版本都不清楚。

現在能做什麼？

對有網站的企業來說，可以照這個順序處理：

第一步是盤點。確認公司所有網站、後台、內部系統是否用到 PHP，包括主機商控制台（如 cPanel、Plesk）內建的 PHP。

第二步是更新。修補版本為 PHP 8.5.12、8.4.27、8.3.36、8.2.35。若使用主機代管服務，要主動詢問主機商是否已更新。跑 PHP 8.1 及更舊版本的網站，應規畫升級，短期內可考慮放到防火牆後方，或比照日本做法暫時下線。

一時無法更新的系統，可先套用 PHP 官方建議的暫時性設定，例如調整記憶體與上傳大小上限。官方也明說，這些做法無法完全防堵攻擊。

更新完也別急著收工，已經暴露一段時間的網站，應檢查是否被植入後門、網站目錄有沒有多出可疑檔案，並留意伺服器是否出現異常的排程或帳號。

對一般讀者來說，這次事件影響的是你常用網站背後的伺服器，個人電腦與手機不需要額外處理。若常用的服務突然維護，可能就是在處理這個漏洞，耐心等待即可。

AI 找漏洞的速度只會更快，PHP2Shell 之後，企業的資安團隊恐怕得習慣這種深夜加班的節奏。