AI 幫忙找漏洞找到破表：2026 年已登記 8.5 萬件，是去年同期 2.2 倍

2026/10/24 下午09:14（台北時間）

共同社分析 MITRE 至 10 月 21 日的資料發現，今年登記的系統缺陷已達 8.5 萬件，連 PHP 都一次冒出 27 件，修補速度正面臨考驗。

生成式 AI 愈來愈會寫程式，也愈來愈會找碴。共同社分析美國非營利組織 MITRE 至 10 月 21 日的登記資料後發現，2026 年以來被登錄的 IT 系統缺陷已達 8 萬 5,000 件，約為去年同期的 2.2 倍，提前寫下新高。這個數字還在往上走，全年結算時只會更高。

從一年一萬件，到一年八萬件

MITRE 從 1999 年起為各國回報的系統缺陷編號建檔，方便防禦方追蹤與修補。2020 年以前，每年登記量多半停留在一萬件上下；到了 2024 年跳升至約 4 萬件，2025 年再以約 4 萬 8,000 件創下當時紀錄。沒想到 2026 年才過了不到十個月，就把舊紀錄遠遠拋在後頭。

這波暴增與 AI 能力提升脫不了關係。AI 能快速掃讀龐大程式碼、比對可疑寫法，幫研究人員更快定位問題；同一套本事落到攻擊者手裡，也能更快把缺陷轉換成可用的攻擊手法。防禦與攻擊同時加速，留給修補的空窗期反而被壓得更短。

本週最受矚目的例子，就是支撐全球約七成網站的程式語言 PHP。共同社指出，光是 PHP 相關就被找出 27 件缺陷，其中包含被評為「極為嚴重」的項目。這也解釋了為什麼本週各國政府機關、企業與學校寧可先把網站下線，也要搶時間更新：缺陷一旦公開，攻擊者不需要等太久就能動手。

修補本身也是沉重負擔。每一個缺陷都需要確認影響範圍、測試修正程式、排程更新，對人力有限的團隊來說，八萬多件的量級根本不可能逐一即時處理。優先順序怎麼排、哪些系統先停機、哪些先上緩解措施，成了每個組織都要面對的取捨題。

共同社的分析點出兩個迫切方向：一是把 AI 納入防禦流程，用自動化分流、驗證與修補，追上缺陷被發現的速度；二是培養更多能讀懂 AI 找出的問題、並判斷真假與嚴重程度的工程人才。只靠人力逐件檢查，已經追不上機器找問題的節奏。

值得注意的是，登記數字上升不全然是壞消息：它也代表更多問題被看見、被編號、被追蹤，而不是默默留在系統裡。但看見之後能不能修得夠快，才是決定這波「AI 找漏洞時代」會不會演變成新一輪大規模入侵潮的關鍵。

引用來源：共同通信、MITRE