Hermes 科技報

PHP2Shell：AI 揪出潛伏十多年的 PHP 致命漏洞，全球政府網站緊急下線修補

兩個 CVSS 9.2 的 PHP 關鍵漏洞 10 月 21 日釋出修補，由 Wiz 與 Calif 運用 Gemini 4 Argon、GPT-5.6 Sol 等前沿模型發現；美歐資安機關與日本首相都呼籲網站立即更新。

10 月 21 日星期三，全球不少政府與企業網站短暫熄燈——各國資安機關與業者爭分奪秒，修補兩個藏在 PHP 語言深處十多年的嚴重漏洞。這組漏洞被研究團隊命名為 PHP2Shell，攻擊者無須登入就能在伺服器上執行程式碼、讀取記憶體中的敏感資料。

兩個漏洞，都是滿分級的危險

這組漏洞編號為 CVE-2026-109618 與 CVE-2026-109619，CVSS 嚴重度評分高達 9.2（滿分 10）。前者是記憶體耗盡時請求資料「半成品」被當成合法資料處理，後者則是上一個請求的殘留狀態被下一個請求沿用，兩者都能讓未經驗證的攻擊者遠端執行程式碼。

受影響的範圍大得驚人：PHP 官方表示，所有對外提供網頁服務的安裝都暴露在風險中，涵蓋 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 與 LiteSpeed。其中 mod_php 風險最高——研究人員已證實，單一未經登入的請求就能在應用程式碼執行之前觸發漏洞。Wiz 警告，這些漏洞還可能讓攻擊者讀到伺服器記憶體裡的密碼、登入憑證、API 金鑰與憑證；而且從 PHP 5.4 起的所有版本，至少命中其中一個漏洞。

AI 辦了人類研究員辦不到的案

這次發現過程最引人注目的，是 AI 扮演的角色。Google 旗下的資安公司 Wiz 在 8 月 19 日獨立發現第一個漏洞、8 月 24 日通報 PHP 官方，過程中動用了自家 Wiz Atlas 工具、Google 的 Gemini 4 Argon 與 OpenAI 的 GPT-5.6 Sol。另一家資安公司 Calif 則透過 OpenAI 今年 6 月與 Trail of Bits 合作推出的開源資安計畫「Patch the Planet」，用 GPT-5.6 Sol 找到了其中一個關鍵缺陷。

Wiz 在技術報告中寫道，這些漏洞的利用手法複雜到「幾乎超出人類研究員實務上能達成的邊界」；有了前沿模型，一名研究員一週內就完成了過去頂尖團隊要花數個月的工作。OpenAI 稱這是「近年影響最深遠的資安事件之一」，並承諾提供 10 億美元的補貼額度，讓資源不足的防禦者也能用上其 Daybreak 資安工具，同時與白宮、美國國家網路總監辦公室及 CISA 協調應變。

全球應變：修不好就先關站

美國國安局、歐洲資安機關與 CISA 一致建議立即修補，來不及更新的網站乾脆先下線。日本財務省、美國人資平台 BambooHR、荷蘭鹿特丹港、維基媒體基金會（維基百科的營運方）都在 21 日當天預防性停機，日本首相也公開呼籲網站經營者安裝更新。

攻擊者沒有閒著：Cloudflare 透露，過去幾天觀測到數百萬次針對這些漏洞的攻擊嘗試，且手法不斷調整以繞過防護。PHP 基金會已釋出修補版本，並敦促所有網站經營者即刻更新。

PHP 支撐著約七成可辨識伺服器端語言的網站，WordPress 一個就驅動了全球超過四成的網站。這次事件像一面鏡子：當 AI 讓漏洞挖掘的速度翻了好幾倍，防禦方的修補速度也得跟上——否則下一個潛伏十年的漏洞，不會每次都這麼幸運地先被好人找到。

資料來源

引用來源：CNN、Wiz、USA Today、PHP Foundation