PHP是什麼？全球7成網站運作都靠它！爆重大資安漏洞「竟是AI發現的」，多國網站緊急下線…資安署示警

聯合報編譯周辰陽

shutterstock

2026-10-22 15:22

+A -A

加入收藏

今周刊編按：全球網站廣泛使用的程式語言PHP近日被發現存在兩個重大資安漏洞，恐讓駭客無密碼入侵網站，由於PHP支撐全球多達7成網站運作，PHP漏洞也讓全球網站緊急應變，從政府機關、醫院到網路平台，一度暫時下線。

包括歐洲多國政府及企業預防性關閉網站，日本政府機關與多家知名企業，包括娛樂服務業者，也都緊急暫停部分網站或服務，導致多個藝人官方網站、偶像團體平台及商業服務暫時停止運作，就連日本首相高市早苗也呼籲各界立即採取防護措施，必要時甚至應暫時關閉網站。

台灣數位發展部資安署已緊急通報全台各機關與企業，由於台灣大量企業與學校網站均使用PHP/WordPress系統，數發部資通安全署長蔡福隆表示，數發部收到PHP開發團隊釋出修補後，隨即啟動相關機制並成立專案小組，提升政府機關警戒，並通知各機關立刻修補程式漏洞。

蔡福隆表示，經盤點資料，台灣約有2萬8000個對外網站使用PHP開發，政府機關約有200個網站，但不是每一個程式語言版本都會受到影響，真正受到影響版本會更少，資安署會持續掌控相關政府機關、企業、教育單位修補進度。

華爾街日報21日報導，支撐全球多達70%網站運作的PHP技術開發者當天披露一項重大安全漏洞。安全研究人員利用AI發現這項漏洞，駭客可能藉此控制任何執行PHP軟體的系統，進而竊取資訊，或對造訪遭入侵網站的使用者發動網路攻擊。

這項名為「PHP2Shell」的漏洞，涉及PHP管理電腦記憶體方式中的一類缺陷。駭客可透過多種方式利用漏洞，其中一些方法只需幾秒鐘，就能在尚未安裝修補程式的網頁伺服器上執行未經授權的軟體。安全公司Calif研究員奧斯汀（Ryan Austin）8月稽核PHP原始碼時，在OpenAI最先進模型之一GPT-5.6 Sol的協助下發現這些缺陷。

這類漏洞已在PHP原始碼中隱藏多年。Calif執行長泰當（Thai Duong）表示，數十年前就有研究人員指出相關程式碼可能存在問題，但當時認為缺陷太難利用，後來逐漸被遺忘。

PHP十多年來最嚴重安全問題

然而，奧斯汀在AI協助下找到利用漏洞的方法。泰當8月11日致電PHP安全工程師杜許（Volker Dusch），告知「有一個嚴重的問題」。不久後，安全研究人員與軟體工程師組成非正式工作小組，並與軟體發行商及安全公司合作，研究如何修補PHP2Shell，防止漏洞遭到利用。

杜許表示，這是PHP十多年來面臨最嚴重的安全問題，堪比「心臟出血」（Heartbleed）漏洞。十多年前，這項同樣影響廣泛的漏洞曾迫使全球緊急採取行動，保護數十萬台伺服器。Google旗下網路安全公司Wiz共同創辦人盧特瓦克（Ami Luttwak）表示，PHP2Shell是「有史以來發現最嚴重的AI漏洞」，而且這項漏洞可能過於複雜，若沒有AI，恐怕無法被發現。

泰當與其他研究人員在修補期間嚴守秘密，以免駭客借助AI搶先發現並利用漏洞。然而，修補工程規模龐大，涉及將近200個檔案，開發人員為此編寫超過1萬行程式碼。修補程式原訂22日發布，但距離發布不到兩天，消息就透過Hacker News上的一篇貼文外洩。杜許的團隊決定加速推出修補程式，20日向全球發出警告，要求各界做好準備，預告隔天將發布重大安全更新。

政府及商業網站營運者，已預防性讓網站下線

杜許表示，這是在「告知防禦者」與「不給攻擊者太多時間開發漏洞利用方法」之間取得的「良好平衡」。由於先進AI系統可能迅速利用漏洞發動攻擊，網站管理員正緊急採取防護措施。一些政府及商業網站營運者表示，已預防性地讓網站下線，21日也開始傳出網路攻擊企圖的通報。

安全修補程式一旦發布，防禦者與駭客之間的競賽就正式展開。防禦者必須測試並安裝修補程式，駭客則研究修補內容，找出軟體變動之處，再設計攻擊方法。不過，安全專家表示，如今AI工具完成這些工作的速度遠快於人類，可能使整個過程更加危險。泰當說：「推特上隨便某個傢伙都可能拿到修補程式，利用AI分析，再發布一段漏洞利用腳本。到時候就會天下大亂。」

※本文授權自聯合新聞網，原文見此。