PHP2Shell有多嚴重？專家比擬Heartbleed　但至今未見成功入侵

PHP 重大漏洞「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）公開已數天，資安界對它的嚴重程度看法分歧：一派認為這是十年一見、足以和 Heartbleed、Log4Shell 並列的大漏洞；另一派則指出，到目前為止還沒有確認的成功入侵案例，實際攻擊門檻比外界想像得高。

PHP 官方將兩個漏洞的 CVSS v4.0 評分訂為9.2分（重大），攻擊者不需登入就可能遠端執行程式碼。據 The Next Web 報導，PHP 基金會資安工程師 Volker Dusch 形容這是 PHP 十多年來最嚴重的問題，可比2014年的 Heartbleed；發現漏洞的 Wiz 認為它可能像 Heartbleed、Log4Shell 一樣成為「AI 時代的轉捩點」，OpenAI 則稱其為「近年影響最大的資安問題之一」。

攻擊熱度確實驚人。據資安媒體 BankInfoSecurity 報導，Cloudflare 執行長 Matthew Prince 表示，攻擊嘗試在漏洞公開前10小時已有「數千次」，公開後45分鐘內增加到「數萬次」，2小時內「數十萬次」，到10月21日深夜已達「數百萬次」。Ox Security 統計，修補釋出24小時後，Shodan 上可量測的 PHP 主機約99% 仍是未修補版本；VulnCheck 則估計約42%、超過110萬台主機使用已停止支援的版本。

看重風險的專家不少。Sophos 反制威脅部門專家 Don Smith 告訴 BBC，這個漏洞「很可能成為駭客的優先攻擊目標」；Flashpoint 情報部門資深副總裁 Steven Weinstein 表示：「技術細節已經公開，每一台沒修補的系統都是攻擊者的機會。」也有專家提醒，國家級駭客可能已在進行難以察覺的針對性入侵。

不過，目前的證據還不足以把它稱為大規模入侵事件。美國 CNBC 報導，PHP 基金會執行董事表示，看到的公開攻擊程式都不完整或無法運作；watchTowr 觀察到攻擊嘗試但未見成功案例，AWS 也說誘捕系統記錄到的攻擊都沒有成功。VulnCheck 指出，GitHub 上數百個概念驗證程式中，截至10月22日沒有一個能自行繞過 x86-64 系統的記憶體位址隨機化（ASLR）防護，但 ARM64 系統會是容易下手的目標，VulnCheck 自己已做出可繞過的版本，只私下提供給部分客戶。Arctic Wolf 也分析，大量請求只是在試探主機有沒有漏洞，而非真正投放攻擊程式。

也有分析拿它和 Log4Shell 比較：Log4Shell 很容易攻擊，但很難找出哪裡用了它；PHP2Shell 比較難攻擊，卻很容易找到誰在用 PHP。截至美國網路安全暨基礎設施安全局（CISA）10月23日的清單版本，這兩個漏洞仍未列入已遭利用漏洞清單。整體而言，PHP2Shell 目前還不是大規模成功入侵的事件，但影響範圍極廣、攻擊程式開發速度又快，專家普遍建議仍應以最高優先順序處理。

各方看法一覽

• PHP 官方：CVSS v4.0 9.2分（重大），升級是唯一完整解法
• PHP 基金會 Volker Dusch：PHP 十多年來最嚴重的問題，可比 Heartbleed
• Wiz：可能像 Heartbleed、Log4Shell 一樣成為「AI 時代的轉捩點」
• Sophos Don Smith：很可能成為駭客的優先攻擊目標
• VulnCheck：公開攻擊程式多數無法繞過 x86-64 的 ASLR，但 ARM64 風險較高
• Arctic Wolf：早期大量請求以探測為主，實際攻擊比預期有限

相關報導：PHP重大漏洞「PHP2Shell」風險升高　ALION推出緊急資安修補服務

資料來源

• BankInfoSecurity：Millions of Exploit Attempts Logged Against PHP Servers
• The Next Web：PHP rushes out emergency patches for two critical bugs AI found first
• CNBC：’PHP2Shell’ vulnerability: What is it, and is your data at risk?
• Arctic Wolf：PHP2Shell: Critical PHP Vulnerabilities Enable Unauthenticated Remote Code Execution
• BBC：Websites taken down worldwide as critical cyber-security update issued
• PHP2Shell vs Log4Shell: how do they compare?
• CISA 已遭利用漏洞清單（KEV）

本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合PHP 官方公告、各資安公司分析及國內外媒體報導整理，資訊更新至2026年10月24日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。