PHP爆漏洞 危及全球七成網站
後端程式語言安全缺陷 黑客可掌控服務器
全球約70%網站採用的後端程式語言PHP，於10月21日爆出被安全人員稱為「PHP2Shell」的兩項重大安全漏洞，編號分別為CVE-2026-109618和CVE-2026-109619。這些漏洞一旦被成功利用，黑客便能在未經授權情況下掌控服務器，對企業與個人網站構成極大信息安全威脅。漏洞被揭露後，網站營運者急忙採取保護措施，歐洲等地的政府網站一度大量離線。PHP開發團隊表示，已上線修復該兩處嚴重漏洞的更新，並強烈建議用戶立即更新。
PHP是一種廣泛用於服務器端的開源編程語言，用戶登錄網站、搜索商品、提交評論時，服務器都需處理請求、訪問數據庫並返回相應內容，PHP便承擔其中部分工作。WordPress等內容管理系統，以及大量電商平台、論壇、媒體網站和企業應用，都可能依賴PHP運行，故用戶未必了解PHP，但每天都在使用由其提供支持的服務。
今次發現的漏洞，在CVSS v4.0漏洞嚴重性評級中被評為9.2級（上限10級），屬嚴重級別。歐盟電腦緊急應變小組日前在諮詢報告中指出，9.2級表明存在未經身份驗證的遠端程式碼執行風險，即允許攻擊者在不登入的情況下，在受攻擊系統上運行惡意程式碼。PHP官方披露，其中一項漏洞涉及內存不足時的異常處理，程式內部數據尚未完成初始化，後續清理過程卻可能將其當作正常數據處理；另一項漏洞則可能導致服務器錯誤使用已釋放的失效內存，使攻擊者有機會讀取敏感數據。
藉OpenAI模型發現缺陷
《華爾街日報》報道，美國安全公司Calif今年較早時藉着OpenAI旗下人工智能（AI）模型GPT-5.6 Sol，發現該關鍵缺陷，並通報PHP官方。安全公司Wiz也獨立發現兩項漏洞。
漏洞確認後，PHP維護者與研究機構、雲服務商和安全公司花費數周進行修復，共涉及近200萬個文檔、逾1萬行代碼。安全更新原定於22日發布，但因兩個漏洞的CVE編號20日便已在網絡流傳，PHP團隊隨即提前公布安全預告，並將正式發布時間提前一天。豈料預告發布後半小時，Calif意外公布一段概念驗證（PoC）視頻，透露部分漏洞技術細節。21日，PHP按提前後計劃，發布PHP 8.5.12、8.4.27、8.3.36和8.2.35四個安全補丁，覆蓋仍受支持的版本分支。
據PHP基金會發布的事件覆盤，其中一類內存管理風險早在2024年就已被發現，但當時核心開發人員未找到潛在的具體攻擊路徑。而由於修復方案可能影響舊程式兼容性、性能及第三方擴展，維護團隊未能及時就解決方案達成一致，修復工作因此數次停滯。
為防範潛在風險，包括法國、德國、荷蘭和比利時在內的歐洲多國政府網站，已暫時關閉部分服務；美國網絡論壇Something Awful和維基百科部分服務也已下線；日本部分託兒中心系統和線上遊戲服務同樣採取預防性措施。
