重點摘要：- 全球近七成網站採用的 PHP 爆發近滿分威脅的 PHP2Shell 嚴重漏洞，引發各國政府急停機。突顯 AI 在資安領域可能會是一把極其鋒利雙面刃的現況。
網路佔有率近七成！PHP 嚴重漏洞突顯 AI 已成鋒利的資安「雙面刃」 各國重要政府機構網站紛紛停機避難等待更新，日首相高市早苗也公開示警
如果你也有在關心資安或是 AI 的新聞，應該很難不注意到，這兩天有一個涉及 PHP 網頁的 PHP2Shell 嚴重漏洞，導致各國政府網站，甚至是維基百科也一度當機的狀況。
甚至就連日本首相高市早苗都跳出來透過社群發文，希望能喚起日本社會對於這個嚴重漏洞緊急程度的重視。巴哈姆特遊戲網站也報導，多款日本知名遊戲也紛紛宣告進行伺服器維修。
▲圖：高市早苗的慎重預警，在媒體的廣泛報導下，也影響到了國際（我們）對此的警覺心。
PHP2Shell 漏洞真有這麼嚴重？
是說，網頁甚至是電腦系統的漏洞明明就還蠻常見的。但這次問題為什麼會這麼嚴重、影響層面這麼的廣？想必這也是大家心裡的疑問。
首先，這項漏洞確實對非網頁維護與開發者的一般人來說，是真的沒有需要做什麼行動 - 雖然 Singer（小老婆站長）一看到這個消息就馬上更新了。
但由於 PHP 十分受到動態網站開發的廣泛採用，甚至在 W3Techs 可辨識伺服器端語言的網站中，PHP 擁有壓倒性的佔有率（近七成）。
除此之外，這次爆發的 CVE-2026-109618 與 CVE-2026-109619 漏洞在 CVSS v4.0 的嚴重度評分高達 9.2 分。甚至資安公司 watchTowr 將這次的漏洞評為接近完美的 10 分。因此只要是有基本資安觀念的人，都會馬上察覺「事情真的大條了」。
這兩項漏洞瞄準的都是記憶體方面（記憶體毀損 Memory Corruption）的漏洞，並可能允許駭客攻擊者在無須登入的狀況下，直接在 PHP 伺服器執行指令。所以單就漏洞的嚴重程度算是無庸置疑。
然而真正導致全球網站慌張緊急關站的原因，則是與白帽駭客發現的漏洞細節遭到提早洩漏（0-day / 提前曝光）有關。全球知名的雲端服務商 / CDN 與網路安全供應商 Cloudflare 更接續 The PHP Foundation 的示警發表聲明，表示現在已經偵測到了早期攻擊的跡象。
由此可知，這些政府機關等重要網站慌張關站的反應並非過於敏感。
英國國家網路安全中心 （ NCSC ） 呼籲各組織與網站管理員儘速安裝修復更新、檢查系統，並留意潛在攻擊。具體來說，是建議至少升級到 10/21 之後的修正版本（PHP 8.5.12、8.4.27、8.3.36 與 8.2.35）。
AI 成（過於鋒利的）資安雙面刃
這次漏洞被「確認」過程的背後其實很值得探討。
因為資安研究團隊最早發現這個可能漏洞的時間點，據報應該最早可追溯到 PHP 5.4.0 也就是約莫 14 年前。不過由於要構成完整攻擊鏈的複雜度與難度（對於過去的人腦來說）實在是太高，所以這些年來都並沒有被視為一種可行的攻擊方式。
然而在發展到接近「超速」的 AI 大模型面前，找出可能影響巨大的資安漏洞問題（像是 OpenAI 的 Patch the Planet 計畫），也成了諸如世紀數學難題的另一個「解決問題」的可能項目。但也引發了，此舉會不會反而成為資安問題的雙面刃的討論。
以這次的事件為例。在 OpenAI 與資安研究團隊 Calif 以及 Google 旗下資安公司 Wiz 分別利用自家的 AI 模型的解析下。他們發現了這兩項發現已久的漏洞，出現了可能被利用的路徑。
但也因為 AI 工具變得這麼厲害，導致尚未補上的漏洞變得更為可怕。突顯了 AI 可以發現極其複雜漏洞，同時也可能被有心人士與駭客利用的雙面刃狀況。
顯然，這種類似軍備競賽的狀況，可能已經是不可逆的狀況了。更可能無法避免，未來駭客將利用 AI 模型來直接對準過去的陳年漏洞，嘗試重現這次 PHP2Shell 攻擊鏈發現過程的「AI 探路」方式。
只能說，這次好在是發生在已經快要修補好的時間點的一兩天前...（而且還是剛好被新聞媒體提早察覺已經洩漏資訊）。真的不敢想像，要是沒能提早警覺的話會發生多大的資安危機。
--
延伸閱讀：
--
PHP, 漏洞, 資訊安全, 駭客,
本文章最後由 rOsS.W 於 2026-10-22 15:55 編輯
| 
0
105
