全球數百萬網站仰賴的 PHP 程式語言驚傳兩項嚴重安全漏洞，恐讓駭客遠端控制伺服器，多國政府與網站已緊急下線或發布警報，亞太地區也拉響警戒。
全球數百萬網站廣泛使用的程式語言超文本預處理器（PHP）近日爆出兩項嚴重安全漏洞（CVE-2026-109618 和 CVE-2026-109619），駭客已開始鎖定這些漏洞發動攻擊，亞太地區各國資安機構紛紛發出緊急警報。
全球網站面臨癱瘓危機
這兩項被暱稱為「PHP2Shell」的漏洞，皆被評為 9.2（滿分 10）的嚴重程度。它們允許惡意行為者在未經授權的情況下，透過遠端程式碼執行（在遠端伺服器上直接執行惡意指令碼）的方式，完全控制受影響的網站伺服器，進而竊取敏感資料或植入惡意軟體。據網路技術追蹤機構 W3Techs 統計，全球約有七成網站使用 PHP，這意味著潛在受影響範圍極廣，包括政府服務、電子商務平台及新聞發布網站等。PHP 漏洞詳細資訊在週二（2026年10月20日）遭外洩後，PHP 開發團隊已於週三（2026年10月21日）緊急釋出修補程式。
為防範潛在風險，歐洲多國政府網站，包括荷蘭、芬蘭、法國、德國和比利時，已預防性地暫時關閉部分服務。美國的網路論壇 Something Awful 和維基媒體基金會（Wikimedia Foundation）旗下的維基百科（Wikipedia）部分支援服務也已下線。在亞洲，日本部分託兒中心系統和線上遊戲服務同樣採取了預防性措施。
AI 發現漏洞 潛在威脅加劇
值得注意的是，這些存在於 PHP 程式碼中長達 14 年的漏洞，是由安全公司 Calif 和 Wiz 運用人工智慧（AI）模型發現的，OpenAI 也確認了漏洞的更多細節。OpenAI 表示，AI 雖然能協助防禦者在駭客利用漏洞前發現並修補，贏得「防禦者之窗」，但相同的 AI 能力也可能被攻擊者用來快速開發攻擊工具和惡意程式。為應對此一挑戰，OpenAI 與合作夥伴啟動了「Patch the Planet」計畫，旨在建立一個新的框架，結合 AI 模型、資安專業知識與開發人員，共同應對大規模軟體漏洞。
亞太地區全面拉響警報
鑒於攻擊行動已開始，亞太地區各國資安機構高度戒備。澳大利亞網路安全中心（ACSC）發布最高級別的關鍵警報，敦促所有組織清查環境中所有 PHP 的執行實例。Cyber Security Agency of Singapore（新加坡網路安全局）也警告，PHP 的所有版本均受影響。網路安全公司 WatchTowr 監測發現，其誘捕伺服器網路已記錄到針對這兩項漏洞的攻擊嘗試。Cloudflare 首席技術官 Dane Knecht 則指出，公司已偵測到針對這些漏洞的早期攻擊。
美國聯邦調查局（FBI）與美國國家安全局（US National Security Agency）皆已發布緊急建議，呼籲所有可能受影響的組織立即更新其 PHP 服務。若無法即時更新，則建議將相關系統下線，直到完成修補。荷蘭國家網路安全局預期，大規模攻擊即將來臨。資安專家提醒，企業應儘速確認網站的 PHP 版本並完成更新，同時密切監控網路伺服器是否存在異常活動，以防範潛在的資安威脅。
參考來源
-
'Critical vulnerabilities': Govt websites in Europe shut dow…（Business Today）
-
Patch the Planet: global response coordination as agents unc…（OpenAI）
-
Critical global website flaw sparks alerts across Asia-Pac a…（Insurance Business）
-
Major websites in US and Europe go dark as operators race to…（New York Post）
-
AI helped discover the PHP vulnerability that could take dow…（Fortune）
-
Websites taken down worldwide as critical PHP cyber-security…（BBC）