全球網路基礎設施迎來重大資安風暴！被全球近七成網站廣泛採用的伺服器端腳本語言「PHP」，近日被揭露兩項潛伏長達數十年、極具破壞性的高風險安全漏洞。攻擊者無需任何帳號密碼或身分驗證，即可在遠端執行任意惡意程式碼，甚至直接接管整台伺服器。
由於漏洞細節在修補程式正式上線前提前外洩，全球已掀起大規模網站預防性下線潮；日本首相高市早苗更罕見在社群平台 X 上公開發布緊急呼籲，要求所有網站管理者今晚立即清查系統，若無法立刻部署更新，應考慮「暫時關閉網站」以策安全。
漏洞威脅解析：評分高達 9.2 分的「PHP2Shell」
本次被資安界統稱為「PHP2Shell」的兩項核心漏洞，在 CVSS v4.0 評分中均達到極危險的 9.2 分：
-
CVE-2026-109618：源於 PHP 處理記憶體不足（Out of Memory）時的底層機制缺陷，可能導致系統在內部資料尚未完整初始化前便遭錯誤呼叫。
-
CVE-2026-109619：涉及記憶體釋放後殘留的全域狀態異常，攻擊者可藉此繞過身分驗證，直接存取伺服器底層檔案系統或資料庫。
根據 W3Techs 統計，全球高達 69.3% 的網站採用 PHP 作為伺服器端語言，包括 WordPress、Drupal、Joomla 等主流內容管理系統（CMS），以及知名電商平台 Magento 全數受到威脅。PHP 基金會資安工程師杜施（Volker Dusch）坦言，這是 PHP 逾十年來最嚴重的資安危機，衝擊程度堪比 2014 年癱瘓全球網路的「心臟出血漏洞」（Heartbleed bug）。
AI 雙刃劍效應：挖出 20 年陳年缺陷，也加速攻擊武器化
值得關注的是，這項潛藏數十年的程式碼缺陷，過去因觸發條件過於繁瑣，未被人類資安人員察覺。然而，資安團隊 Calif 先前借助 OpenAI 的 GPT-5.6 Sol 模型在程式碼稽核中挖出此漏洞；隨後，Google 旗下的 Wiz 資安團隊亦利用 Gemini 4 Argon 等多個 AI 模型獨立驗證了相同問題。
AI 雖能精準找出漏洞，卻也讓攻擊工具的研發門檻大幅降低。美國國家安全局（NSA）緊急示警，隨著漏洞細節在網路外流，駭客已迅速將其武器化並展開掃描攻擊。這導致包括日本財務省、pixiv、Niconico，以及法國巴黎警察局、荷蘭國家數位身分驗證（DigiD）、比利時外交部與澳洲訊號局等官方及民營平台，紛紛採取預防性停機作業。
網站管理者緊急應變指南
面對刻不容緩的攻擊威脅，PHP 官方開發團隊已火速釋出安全更新修補版本，各組織及企業 IT 人員應立即採取以下防範措施：
-
立即升級至最新修補版本：
-
PHP 8.5 系列：升級至 8.5.12
-
PHP 8.4 系列：升級至 8.4.27
-
PHP 8.3 系列：升級至 8.3.36
-
PHP 8.2 系列：升級至 8.2.35
-
-
舊版本應對方針：
-
目前仍在運行 PHP 8.1 或更早版本的系統，由於官方生命週期（EOL）已終止、無法取得安全補丁，必須立即著手架構升級，或將相關伺服器與公網完全隔離。
-
-
無法立即更新時的暫時防護：
-
若營運環境因排程暫時無法部署修補程式，應評估暫時停止對外 Web 服務，或透過 WAF（網站應用程式防火牆）嚴格阻斷異常呼叫，避免遭受未授權接管。
-
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
https://www.contentplatform.info/articles/543521