重點整理
- 【發現】潛藏約14年的漏洞，AI 協助下數週內找到並寫出攻擊程式
- 【攻擊】修補釋出後幾小時內攻擊程式流出，AWS 更在公開前4天就觀察到攻擊
- 【防守】AWS 建議修補時程改以「小時」計算，不再是7天或30天
PHP 重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）被視為 AI 改變資安攻防的指標事件。這個潛藏在 PHP 核心多年的漏洞，在 AI 協助下幾週內就被找到並寫出攻擊程式；而修補釋出後，攻擊程式也在幾小時內流出。
OpenAI 總裁 Greg Brockman 表示，這個漏洞在 PHP 中存在約14年，是在 OpenAI「Patch the Planet」計畫下，用 OpenAI 的模型發現並處理的。據加密貨幣與科技媒體 Decrypt 報導，參與計畫的資安公司 Calif 8月使用 GPT-5.6 Sol 找到漏洞的一個版本，OpenAI 團隊9月找到更完整的版本；雲端資安公司 Wiz 則獨立找到這兩個漏洞。
Wiz 表示，團隊8月19日用 AI 工具找到第一個漏洞，兩天內就確認可對 Drupal、WordPress 免登入遠端執行程式碼，使用的模型包括 Google 的 Gemini 4 Argon 與 OpenAI 的 GPT-5.6 Sol。Wiz 指出，一名研究員借助 AI 約一週就完成過去需要一個團隊數月的工作，AI 能把攻擊程式調整到不同版本與設定，並自行分析失敗、反覆測試。
攻擊端的速度同樣驚人。亞馬遜資安長 CJ Moses 指出，誘捕系統在10月17日、也就是漏洞公開前4天，就記錄到攻擊嘗試；修補釋出後幾小時內，更多攻擊程式流出並立刻被拿來攻擊。AWS 認為，AI 輔助分析讓攻擊者更容易把修補內容或公告轉成可用的攻擊程式，從修補到攻擊出現的時間正在縮短，建議企業針對對外系統的重大漏洞，以「小時」而非7天、30天的標準衡量修補時程。
不過，各方對 AI 扮演的角色說法不一。部分媒體把漏洞形容為「AI 發現」，但也有分析指出，是 Calif 與 Wiz 的研究人員以 AI 作為輔助工具，並非 AI 自主發現；修補開發與釋出決定則由 PHP 維護團隊主導。Wiz 研究員認為，PHP2Shell 可能像 Heartbleed、Log4Shell 一樣，成為「AI 時代的轉捩點」。
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
- Wiz：PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- Decrypt：Who Found the PHP Bug That Made Governments Unplug Their Websites?
- AWS：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
- SmartScope：PHP2Shell 是否真由 AI 發現
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。