作者blackpudding (甩奶抖肚拳)
看板Stock
標題[新聞] 全球多達七成網站使用的PHP出事了！重大
時間Wed Oct 21 23:04:26 2026
原文標題： 全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器
原文連結： https://news.cnyes.com/news/id/6635339
發布時間： 2026-10-21 22:40
記者署名：段智恆
原文內容：
《華爾街日報》(WSJ)周三(21日)報導，人工智慧協助資安研究人員找出重大漏洞，如今也
讓全球網站管理員面臨修補時間壓力。支撐全球多達七成網站的PHP技術，周三揭露名為「P
HP2Shell」的嚴重安全問題，攻擊者可能藉此控制尚未修補的伺服器、竊取資料，甚至透過
遭入侵網站攻擊訪客。
研究人員警告，先進AI不僅能協助找出漏洞，也可能加速駭客開發攻擊工具。部分網站管理
員表示，已預防性關閉網站，避免在完成修補前遭入侵。七成是PHP的網站使用占比，實際
風險仍取決於各網站的軟體版本、系統環境與修補情況。
PHP爆十多年來最嚴重漏洞 全球網站搶修
PHP2Shell涉及PHP管理電腦記憶體方式的一系列缺陷，攻擊途徑不只一種。駭客可能利用這
些問題，在未修補的網頁伺服器執行未經授權的程式，部分攻擊只需數秒即可完成。
負責維護PHP專案的非營利基金會資安工程師Volker Dusch表示，這是PHP十多年來最嚴重的
安全問題。他將其比擬為「心臟出血」(Heartbleed)漏洞，後者曾迫使全球管理員緊急修補
數十萬台伺服器。
安全更新發布，往往也是攻防競賽的起點。防守方需要測試、安裝修補程式，攻擊者則會比
對程式碼變動，找出漏洞位置並設計攻擊手法。資安專家指出，AI能比人類更快完成這些工
作，進一步壓縮防守方的應變時間。
最早發現問題的資安公司Calif執行長Thai Duong警告，有人可能取得修補程式後，交由AI
分析並公開攻擊腳本，屆時情況恐迅速失控。
AI挖出多年隱患 舊有風險變成可行攻擊
Calif研究員Ryan Austin今年8月檢查PHP原始碼時，在OpenAI模型GPT-5.6 Sol協助下發現
這些漏洞。OpenAI資助了這次及其他程式碼安全檢查，協助開源專案處理AI陸續挖掘出的安
全問題。
Thai Duong表示，這類缺陷已藏在PHP原始碼多年，數十年前就有研究人員指出相關風險，
但當時被認為太難利用，逐漸遭到淡忘。
AI改變了這項判斷。Ryan Austin找出方法，只需向PHP伺服器發送數十次請求，就可能控制
電腦記憶體中執行的程式碼。較小型系統可能數秒內遭攻破，複雜系統則可能需要數小時。
8月11日，Thai Duong致電Volker Dusch示警。研究人員與軟體工程師隨後組成非正式工作
小組，聯合軟體發行商及資安公司研擬修補與防禦措施。
Google旗下Wiz資安團隊也獨立發現新的漏洞利用方式，OpenAI研究團隊同樣提出相關發現
。研究人員擔心，犯罪者可能藉AI快速擴大攻擊，在大量網站完成更新前下手。
修補消息提前外洩 團隊緊急提前發布更新
Wiz共同創辦人Ami Luttwak形容，PHP2Shell是迄今透過AI發現最嚴重的漏洞，複雜程度可
能高到沒有AI就難以找出。研究團隊因此嚴守消息，避免攻擊者搶在修補完成前利用漏洞。
這次修補規模龐大，涉及近200個檔案，開發人員撰寫超過1萬行程式碼。原定更新日期為10
月22日，未料周二Hacker News出現相關貼文，距離預定發布時間已不到兩天。
消息外洩後，PHP團隊決定提前發布修補程式，周二先通知外界準備迎接周三的重大安全更
新。Volker Dusch表示，這項安排是在提醒防守方及避免留給攻擊者太多開發時間之間，取
得適當平衡。
心得/評論：
好像很多網站跟遊戲伺服器都緊急維修了，美國白宮“日本首相、歐盟都有出來發聲，台灣
好像要看新聞才知道。美股資安股ddog、net等也受此消息有不錯的漲幅，明天資服股會漲
嗎？
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.161.9.244 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Stock/M.1792595069.A.C99.html
1F：推 YHOTV4096 : 仁勳：看吧，需要更多AI基礎建設，才能支持發展安控 10/21 23:05
2F：推 s90002442 : 可以蛋雕php惹 10/21 23:06
3F：推 simba1222 : 一堆遊戲都在維修 10/21 23:08
4F：推 eno03 : 我的推突然不開台 轉貼這篇 好像是怕被駭 10/21 23:09
5F：推 heavenlyken : 攻擊者早就透過AI發現了吧 只是很低調而已 10/21 23:13
6F：→ excercang : 現在攻擊都能交給AI做了 10/21 23:14
7F：推 livewater : 日本網站和手遊網遊死一片 10/21 23:14
8F：推 howard416 : 還真 FGO剛剛也在維修 10/21 23:17
9F：推 STi2011 : 練習英文的APP 也是關一部分..... 10/21 23:19
10F：推 loleea : 用AI防禦啊 10/21 23:28
11F：→ galleon2000 : 需要更多的AI，噴 10/21 23:29
12F：推 joygo : 好可怕 ai太危險 10/21 23:30
13F：→ excercang : 需要更多的記憶體 10/21 23:30
14F：→ jjjj222 : 叫AI重寫, 可以把php蛋雕了 10/21 23:31
15F：推 omanorboyo : 以後AI會常常接管 先習慣 10/21 23:34
16F：推 lakershank : Ai在都更沒有跟上AI腳步的人 10/21 23:34
17F：→ xxx60133 : 可能在展示AI重要性吧 10/21 23:35
18F：→ xxx60133 : 被強迫跟上 10/21 23:35
19F：推 YHOTV4096 : 我記得魔鬼終結者三，也是AI病毒襲捲網路，美國軍方 10/21 23:36
20F：→ YHOTV4096 : 才啟動天網的。現在是AI先襲捲網路，但天網還沒佈建 10/21 23:36
21F：推 Eric00132 : 台灣都不怕萬一呢 10/21 23:37
22F：→ YHOTV4096 : 所以需要更多的基礎建設，做不會背叛人類的AI天網。 10/21 23:37
23F：推 jackyyah : 尼瑪的PHP害我要做一堆更新 10/21 23:37
24F：→ excercang : 以前覺得電影是天方夜譚，現在的感想是電影是先知 10/21 23:37
25F：→ kivan00 : 這事情大條 很多公司是外包維運 為了省錢終止合約後 10/21 23:37
26F：→ kivan00 : 裡面根本沒人會打patch 10/21 23:37
27F：→ YHOTV4096 : 同時需要再更多的AI基礎建設，佈建監控天網的系統。 10/21 23:38
28F：→ excercang : AI發展的程度超出預期 10/21 23:38
29F：推 horun : SD鋼彈世紀 FGO 公主連結 都維修辣 10/21 23:39
30F：推 joygo : 現在軟體安全性更新就超多啊 人類就是會留下很多洞 10/21 23:41
31F：推 aixiiae2005 : 很多老系統更新上去壞了誰負責XD 10/21 23:42
32F：推 jen1121 : PhP用這種東西就是等人家破門 10/21 23:43
33F：→ excercang : 所以系統能不動就不動 10/21 23:46
34F：推 dnzteeqrq : 這直接用ai分析系統找漏洞最有效率 =.= 10/21 23:47
35F：推 jinx55123 : 這漏洞我看網路上寫還是AI發現的 但是攻擊者想迅速A 10/21 23:48
36F：→ jinx55123 : I 所以名副其實的AI攻防 比誰的AI更強 10/21 23:49
37F：→ excercang : 這件事算是完美的AI訓練AI 10/21 23:49
38F：→ lovehan : 寫程式的、放病毒的，終究還是人…… 10/21 23:50
39F：→ reallurker : 通通改成PTT電子布告欄模式!!! 10/22 00:00
40F：→ DSGG978 : 用慣AI後，誰還想回去當原始人 10/22 00:04
41F：推 Solyo : 自己刷自己需求，AI就喜歡搞閉環 10/22 00:07
42F：→ Hina : 維基剛剛好像掛了 10/22 00:10
43F：推 wahaha5678 : 難怪一堆安控股動了 10/22 00:13
44F：推 Toge : 這老古董真的還一堆人在用…… 10/22 00:14
45F：推 kcg123 : 以後AI也分階級,天才AI 平民AI 傻子AI 10/22 00:14
46F：推 TaiwanUp : 安卓 10/22 00:16
47F：推 chinaeatshit: 港任的store好像爆了 10/22 00:19
48F：推 offstage : 開發人員繼續愛用EOS的套件阿..嘻嘻 10/22 00:19
49F：→ offstage : 還在用PHP 8.2以下版本的，莎優哪拉 10/22 00:19
50F：→ excercang : AI也不是人人玩的起，算力太貴了 10/22 00:19
51F：推 heavenlyken : 明天緊急買入資安股 10/22 00:26
52F：推 YHOTV4096 : 樓上，我有同感，每次都這樣，但買不到因為一字鎖。 10/22 00:26
53F：推 shter : 買 PHP 外包開發公司吧，修補生意應該接不完 10/22 00:29
54F：→ shter : 大家會先因為他們用PHP代客開發服務而恐慌拋售 10/22 00:30
55F：→ shter : 接著發現很多PHP線上服務都要趕時間找有經驗的修 10/22 00:31
56F：→ shter : 至少要升級版本...然後才發現生意接不完 10/22 00:31
57F：推 zizc06719 : 挖賽，修這要一萬行 10/22 00:34
58F：推 okderla : 整個AI行情走到這裡，大家突然發現最需要的卻沒有漲 10/22 00:43
59F：→ okderla : 的其實是資安股 10/22 00:43
60F：→ htiio : 修完80%起碼一個月以上 10/22 00:45
61F：→ htiio : 一堆古老外包的用php開發方便 10/22 00:45
62F：→ htiio : 還有很多個人wordpress自己都不會修的 10/22 00:45
63F：推 a51907 : 這個很嚴重，現在各大軟體場都開P0 incident挖工程 10/22 00:46
64F：→ a51907 : 師起床修 10/22 00:46
65F：→ a51907 : 我們快瘋掉 10/22 00:46
66F：推 liner1989 : AI在運算這部分真的跟至尊魔戒一樣，解人類幾百年解 10/22 00:48
67F：→ liner1989 : 不出來的數學問題就是隨手破解，這種數位漏洞跟笑話 10/22 00:48
68F：→ liner1989 : 一樣，隨便發現也可能隨便攻破 10/22 00:48
69F：→ GodBoneQ : 難怪有些網站突然維修 10/22 00:54
70F：推 WWIII : 搞到可以直接接管伺服器也太離譜 10/22 01:03
71F：推 good10740 : PHP AI給6752 2471 6214 10/22 01:03
72F：→ WWIII : 直接把wordpress這個老垃圾丟進垃圾桶吧 10/22 01:03
73F：推 how0802 : 所以jptt都連不上是嗎 10/22 01:10
74F：推 noomlluf72 : 早該換了 10/22 01:17
75F：推 h0103661 : 台灣沒多少網站用這老古董當然沒人在意 10/22 01:26
76F：推 jieen0604 : 破壞比建造容易多了 10/22 01:30
77F：推 tf010714 : 所以最近幾天日本新聞報他們一堆大企業資料被盜 10/22 01:37
78F：→ tf010714 : 連負責防災警報Jアラート的公司都被盜 真的很狂 10/22 01:38
79F：→ tf010714 : 他們說俄國駭客集團用自製AI工具24小時在攻擊 10/22 01:39
80F：推 totomo168 : 明天資安股要飛了 10/22 02:24
81F：推 love9115566 : 美光賺這麼大罷工幹嘛 10/22 03:08
82F：→ yesonline : Cloudflare 在漏洞正式公開前約9小時，就已開發、部 10/22 03:12
83F：→ yesonline : 署、自動啟用防禦 php2shell 的WAF規則。免費或付費 10/22 03:12
84F：→ yesonline : 方案的用戶都能使用。但 Cloudflare 強調，WAF 無法 10/22 03:12
85F：→ yesonline : 完全取代伺服器本機底層安全修補，管理員必須盡快更 10/22 03:12
86F：→ yesonline : 新 PHP。 10/22 03:12
87F：推 myyalga : Ai就很好用，在分析方面，只要限制他不出幻覺，可以 10/22 04:12
88F：→ myyalga : 節省太多時間了！ 10/22 04:12
89F：推 cms6384 : 網安股 噴噴噴噴噴 10/22 05:18
90F：推 PTTCEO : 蛤 真的假的現在還有多達七成網站用PHP？ 10/22 06:50
91F：推 zaza1128 : Ai攻擊，Ai防禦 10/22 07:07
92F：噓 person0530 : 會不會開始要用發電報來通訊了 10/22 07:22
93F：推 xboxandone : 需要更多的AI 天網互相攻擊的年代來臨 10/22 07:58
94F：→ Arashi0731 : 巴哈我記得也是php 10/22 07:59
95F：推 CaTkinGG : 難怪crwd跌了那麼久忽然噴 10/22 08:07
96F：推 jen1121 : PHP整個生態圈充斥著速成態度，今天被AI當沙包打趴 10/22 08:08
97F：→ jen1121 : 到地板上磨，我一點也不感到意外。 10/22 08:08
98F：推 v7q4 : 叫AI修一下就好了 10/22 08:15
99F：推 loking : 存在20年的老網站，應該很多用php 10/22 08:21
100F：推 iamaq18c : PHP到現在還是很多阿 不意外 10/22 08:35
101F：→ excercang : 現在修好的都只是急救，並不是真的補強 10/22 08:57
102F：→ excercang : 從根本上，必須捨棄這東西才能解 10/22 08:57
103F：推 xboxandone : 剛看新聞 阿部寬官網也炸了 看來真的很慘 10/22 09:14
104F：推 john721107 : 日本重災區 10/22 09:42
105F：推 arickal : 那些資安股的pe快要飛到火星了 10/22 09:43
106F：→ albertk1kil : 什麼是PHP啊不是很懂 10/22 09:54
108F：→ albertk1kil : 剛剛查了一下，臉書跟維基百科都是PHP 10/22 09:56
109F：推 zxcvb71 : 太多網站用php了，php不能倒 10/22 10:08
110F：→ bndan : PHP 佔比非常高 == 而且新舊都有 這東西好處是快速 10/22 10:32
111F：→ bndan : 成站 壞處是所有防御體系的東西都沒有 要自己堆或找 10/22 10:32
112F：→ bndan : 來湊 重點是這東西沒大靠山 出事了只能摸摸鼻子認命 10/22 10:32
113F：推 l14567p : 資安股已經噴很久了 稍微回檔又繼續噴 10/22 10:38
114F：推 s454666 : 更新完了啦 10/22 12:19
115F：→ excercang : 台灣這邊的網站大多沒動作 10/22 14:40
116F：→ yunf : 早說了根本就都是雷 10/22 17:40