網路安全機構示警，在PHP準備關鍵修復程式期間，網站可能會暫時下線。（路透社）
（央廣新聞台北6日訊）近期全球網路安全遭受重大考驗，全球有7成網站都在使用的開發程式語言「PHP」被爆出高危險安全漏洞，這個漏洞可以讓駭客存取網站伺服器的資料、無需帳密即可遠端執行程式，甚至是直接接管網站。嚴重程度讓各國政府和企業紛紛緊急採取預防性措施，暫時停止網站運作或者進行緊急維護。究竟什麼是PHP？事件始末是什麼？影響的範圍與意義又有多深遠？
全球近7成網站都在使用的後端語言
PHP（Hypertext Preprocessor）中文又稱為超文字預處理器，是被廣泛使用的開源伺服器端腳本語言。當使用者在瀏覽器輸入網址並按下Enter，PHP會在遠端伺服器上執行運算，處理資料庫（如MySQL）中的資訊，將結果轉換為瀏覽器看得懂的前端語言後再傳回使用者的電腦。
與HTML或CSS這種負責視覺裝飾的前端語言不同，PHP是後端語言、是網站的中樞，可以處理會員登入、購物車計算、搜尋功能以及動態內容生成等。
由於PHP免費開源且部署簡單等特性，長年是中小型網站與企業官網的主流選擇。另外，全球常見的網站建置平台WordPress，以及Drupal、Joomla、Magento（電子商務）、MediaWiki（維基百科使用的系統）等內容管理與電商平台，也都是以PHP開發。根據W3Techs統計，在全球已知的網站當中，有69.3%皆採用PHP。
因為PHP位在網站運作的最底層，一旦語言核心出現漏洞，影響範圍就不限於單一網站或單一套件，而是會波及所有執行它的系統，這也是這起事件受到全球關注的原因。
事件始末
2004年，PHP核心貢獻者埃塞爾（Stefan Esser）就曾挖出類似的「記憶體上限」遠端漏洞。2020年，也有人在官方錯誤追蹤系統回報長變數會導致記憶體耗盡的問題，但當時皆未獲得足夠重視。
2024年，在德國主權科技局（STA）的出資下，資安公司Quarkslab對PHP進行了外部稽核。當時核心開發者在處理報告時，便察覺PHP的記憶體管理存在缺陷，卻因為該缺陷需要「極度複雜的步驟」才能被觸發，人類研究員幾乎無法證明其遠端攻擊的具體可行性。
開發團隊曾提出幾種修正方案，但由於修改最底層的核心程式碼會造成舊網站不相容或引發其他服務中斷風險，加上PHP基金會資源嚴重不足、核心開發人力面臨斷層，修補工作因而擱置了兩年。
就在今年7月底，OpenAI邀請美國資安公司Calif參加「修補地球」（Patch the Planet）計畫，並將影響全球近7成網站的PHP列為高價值目標。
8月初，Calif研究團隊借助OpenAI的先進人工智慧模型（GPT-5.6 Sol）進行程式碼分析。人類難以算盡的極複雜攻擊路徑，AI在短時間內便成功推演出具體的攻擊腳本，證實攻擊者無需帳號密碼，只需送出數十次異常請求，即可在幾秒至數小時內完全控制伺服器。
團隊隨後向PHP基金會通報了這兩個統稱為「PHP2Shell」的遠端程式碼執行漏洞（CVE-2026-109618、CVE-2026-109619），安全嚴重性評分被通用漏洞評分系統（CVSS）定為極高的9.2分。與此同時，Wiz和Chainguard等資安團隊也透過其他AI模型獨立發現了同一批核心缺陷。
值得一提的是，10月17日，在漏洞準備被公開的前4天，亞馬遜（Amazon）的網路誘捕系統（Honeypot，又稱蜜罐）就已經捕捉到零時差攻擊（Zero-Day Attack）的嘗試。
10月20日，PHP團隊剛預告將發布安全更新，有人卻在網路上提前外流了漏洞的細節，甚至有資安業者將AI生成的攻擊示範影片流出。
面臨資訊提前暴露的巨大壓力，PHP基金會的志工與少數工程師徹夜加班，甚至包括一名擁有20年資歷的志工核心開發者蘇里（Ondřej Surý）也來緊急救火，終於趕在期限前將涉及近200個檔案、破萬行程式碼的修補程式開發完成；PHP官方於10月21日緊急提早發布了PHP 8.5.12、8.4.27、8.3.36、8.2.35等安全版本。
由於修補程式公開後，駭客也能利用AI 迅速「反向工程」出攻擊腳本，來危害尚未更新的系統，因此各國政府與大型機構展開了與時間的賽跑。
法國政府入口網站、荷蘭鹿特丹港、德國柏林夏里特大學醫院等皆預防性暫停部分線上服務。日本首相高市早苗也罕見在社群平台X上親自發文示警，甚至率先將自己的個人網站關閉。pixiv、niconico、全日空、知名線上遊戲《賽馬娘》等也陸續進入緊急停機維護。
台灣數位發展部資通安全署也於10月22日啟動盤點，發現台灣有約2.8萬個對外網站、200個政府機關網站使用PHP，並隨即發布緊急警訊呼籲企業盡速更新並檢查系統日誌。
人力與資金都不足 PHP基金會僅1名正職
這場危機也讓開源生態系的脆弱性在公眾面前暴露無遺。PHP支撐了全球高達69.3%的已知網頁後台（如WordPress、Drupal等），但PHP基金會執行董事巴倫（Elizabeth Barron）坦言，整個基金會其實只有「1名全職員工」，也就是她自己，其餘僅靠14名兼職或約聘工程師在維持運作。
另外，面對AI時代下程式碼漏洞回報量翻倍的浪潮，基金會帳上現金與企業贊助卻嚴重不足。PHP基金會也藉此機會向全球極度依賴PHP的雲端代管商、科技巨頭與各國政府公開喊話，呼籲各界正視「用愛發電」的開源資安結構性問題，希望他們可以提供更長期的資金支持。
AI成雙面刃 改變資安攻防節奏
這起事件預示著這只是AI時代的一個開端。沒有AI，這個漏洞的攻擊方法或許不會被「發現」；但也正是AI，讓過去人類辦不到的事情變成可能。
有愈來愈多事實證明，AI正在徹底改變軟體安全的攻防節奏。過去資安漏洞主要是透過人為發現，因此企業有充裕時間排定優先順序與修補，但如今AI可以不眠不休地在短時間內產出成千上萬個漏洞報告，而在修補階段仍需依靠人力維護。
當AI讓回報漏洞的速度愈來愈快，維護的人手與資金能否跟上，正是PHP2Shell這次給資安界留下的問題。
