日本首相高市早苗警告 PHP2Shell 漏洞，籲網站管理員立即備妥修補

日本首相高市早苗於 10 月 21 日晚間發文，呼籲所有網站管理員確認網站是否採用 PHP，並預先準備即將發布的修補程式，以便更新推出後立即套用；若難以迅速套用，應考慮暫停網站等降低風險措施。此警告針對 PHP 於 10 月 20 日公告、將於 21 日世界協調時間 14 時（臺灣時間 22 時）發布的重要安全更新，該更新修補 2 個 CVSS v4.0 評分達 9.2 分的重大漏洞。 以下為同一事件的相關報導整理，各家說法未必一致： 在漏洞來源方面，Wiz 表示兩個漏洞最早可追溯至 2012 年推出的 PHP 5.4，其研究人員使用包括自家 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol 在內的多個 AI 模型，於 8 月下旬找出漏洞，並在 Drupal、WordPress 等 CMS 上完成驗證。Wiz 認為這是 PHP 史上最嚴重的漏洞，但實際用於攻擊需要極其複雜的步驟。另一家資安公司 Calif 則指出，問題可能源自 2004 年由 Stefan Esser 發現的記憶體限制漏洞，2020 年與 2024 年也有研究人員找出相關問題，但因無法證實可用於攻擊，當時未被視為資安漏洞。 在攻擊情況方面，Amazon 威脅情報團隊於 10 月 17 日首度偵測到 PHP2Shell 的漏洞利用活動，早於 PHP 公開漏洞 4 天。攻擊者透過商用匿名網路與匿名 IP 發動攻擊，Amazon 表示不清楚攻擊者如何取得漏洞資料。PHP 發布更新當天，Amazon 也觀察到大量攻擊嘗試，其惡意酬載與匿名化基礎設施不同，顯示有多組人馬在嘗試利用。然而，美國 CISA 同日呼籲企業立即更新，卻表示「尚未觀察到漏洞遭利用的跡象」，與 Amazon 的觀察結果有出入，材料中未說明造成差異的原因。 在影響範圍方面，Check Point 表示，由於漏洞細節在預定公開前外洩，全球已有 10% 的組織受到影響，攻擊高峰出現在午夜時分，該公司推測與值班安全團隊人力較少有關；荷蘭與芬蘭政府已將部分網站下線作為預防措施；歐洲受影響程度為其他地區的兩倍以上。另有報導稱，全球約 70% 的網站可能有潛在風險。 在臺灣，數位發展部資通安全署表示，初步盤點國內約有 2.8 萬個對外網站以 PHP 開發，其中約 200 個政府機關網站使用相關版本。資安署已於收到官方修補程式後啟動專案應變，並發布警訊要求政府機關與企業盡速完成修補。