PHP爆兩大奪權漏洞緊急修補 全球三分之一網站尚未更新

網站伺服器語言PHP被發現兩個無需登入即可從外部執行程式碼的重大漏洞，開發團隊於21日（當地時間）緊急發布修補程式。PHP是全球高達70%網站採用的語言，但官方修復版本僅提供給PHP 8.2以上版本，目前仍有三分之一以上的網站尚未取得修補。

這兩個漏洞編號為CVE-2026-109618與CVE-2026-109619，合稱「PHP2Shell」。攻擊者無需登入即可在網站伺服器上執行程式碼，並讓使用者瀏覽器顯示異常內容，甚至在網站本身程式碼執行前就能發動攻擊。PHP並非在瀏覽器端運作，而是伺服器端的後端語言，負責產生HTML等內容後再傳送給瀏覽器。

修復版本為8.5.12、8.4.27、8.3.36與8.2.35。針對7.4到8.1的舊版本，後續也開始提供回溯補丁（將最新修復套用到舊版本的做法）。

目前使用PHP的網站中，27%仍採用PHP 7，7.7%使用PHP 5，這些網站都尚未獲得修補。根據一項估計，超過80萬個網路主機仍運行已不再提供修復計畫的舊分支，這些主機所服務的網站多達數百萬個。

PHP開發團隊21日針對兩項無需驗證即可遠端執行程式碼的漏洞發布緊急補丁，使用代管服務的用戶應向業者確認是否已完成更新。由於加密貨幣交易所、錢包與相關資訊網站同樣運行網頁服務，也被納入此次伺服器環境檢查範圍。

此次漏洞是在OpenAI出資的8月資安稽核中被發現。資安公司Calif的研究人員使用OpenAI的GPT-5.6 Sol模型找出漏洞。Calif是OpenAI「Patch the Planet」計畫的合作夥伴，該計畫結合先進AI模型與專家人工審查。

Calif執行長Thai Duong向《華爾街日報》（The Wall Street Journal）表示，這類漏洞早在數十年前就曾被討論過，但因難以被利用而遭到忽略，如今AI已找出只需數十次請求、就能奪取伺服器記憶體的方法。

谷歌雲（Google Cloud）旗下資安公司Wiz獨立確認了這項漏洞。Wiz共同創辦人形容PHP2Shell是「迄今發現最嚴重的AI漏洞」，並補充說這類漏洞原本很難靠人工找出。

外界的擔憂很快轉化為實際行動。芬蘭國家IT中心出於預防考量，關閉了部分政府網路服務。荷蘭方面，負責提供地方議會資訊的網站NotuBiz已離線，隨後MijnOverheid與荷蘭國會網站也遭封鎖。法國政府部門表示，在修補程式推出前，已暫停司法監聽相關網站的服務。

雲端服務商Cloudflare（NET）技術長Dane Knecht表示，包括免費方案用戶在內的所有客戶，都暴露在實際可被攻擊的路徑之下。Cloudflare一夜之間先採取臨時緊急措施，數小時後又公布追加補丁。網站代管業者GoDaddy則呼籲客戶盡快升級。

加密貨幣媒體BlockTempo報導，OpenAI將投入10億美元協助防禦方應對此次漏洞。

PHP伺服器管理者應將系統升級至對應分支的修復版本，或安裝發行版提供的修補套件。仍在使用8.1以下版本者，應儘快遷移至受支援的分支，或向發行版、長期支援供應商確認是否提供舊版專用補丁。