PHP爆重大漏洞PHP2Shell AI助攻恐引發入侵潮，歐洲多國預防性關站

程式語言PHP存在重大安全漏洞（CVE-2026-109618、CVE-2026-109619，通稱PHP2Shell）。PHP開發團隊已發布新版修補程式，呼籲用戶立即更新。據路透社報導，這些漏洞潛藏多年，直到近期才藉由AI技術發現。 漏洞發現與揭露：資安公司Calif於8月1日借助大型語言模型發現漏洞；Wiz則使用自主式AI漏洞研究工具Wiz Atlas，以及Google的Gemini 4 Argon與OpenAI的GPT-5.6 Sol。兩家公司都表示已與PHP開發團隊及OpenAI協調處理。白宮聲明稱，美方於本月16日獲悉此漏洞。 威脅狀況：亞馬遜資安團隊於10月17日偵測到有人試圖利用這些漏洞攻擊其誘捕系統（honeypot），亞馬遜稱這些漏洞「如今已在真實環境中遭到廣泛利用」，但無法確定攻擊能否成功入侵實際運作的網站。資安專家警告，修補程式公開後，駭客可能趕在網站更新前發動大規模攻擊。Censys資料顯示，在260萬台主機中，約150萬台仍在執行尚無修補程式可用的PHP版本。Drupal協會代理執行長法里斯表示，過去20年發布的任何PHP版本都受影響。 影響範圍：PHP支撐WordPress、Drupal、Joomla、Magento等系統，W3Techs估計在可辨識程式語言的網站中約75%使用PHP。Automattic表示，其WordPress.com與Tumblr用戶不受影響。風險較高的是由個人或資源有限組織經營的小型網站，尤其是共享主機上的站點。 各國應對：荷蘭多個單位依國家網路安全中心建議暫時關閉對外網站，包括鹿特丹港、政府入口網站Overheid.nl、荷蘭足球協會、全國5大政黨網站及多家醫院。丹麥Kombit關閉多項服務，包括全國學校通訊平台。芬蘭Valtori讓政府公共網路服務基於預防性措施暫時下線，法國內政部則將旗下所有網站轉入預防性維護狀態。 CISA建議：美國CISA呼籲企業盤點所有採用PHP的系統並立即修補，優先處理可從網際網路存取者。若無法更新，或使用8.1以前已終止支援的PHP版本，應暫時關閉系統。同時應監控PHP worker處理程序啟動shell工具或下載特定工具的異常行為。 ⚠️ 來源分歧：CISA表示目前尚未觀察到漏洞遭利用的跡象，但亞馬遜稱這些漏洞已在真實環境中遭到廣泛利用，兩者說法不一。