數位時代 李先泰
PHP 爆重大資安漏洞！為何連台灣數發部資安署、日本首相都發布警示？
全球網站爆發重大資安危機！廣泛用於新聞網站、購物平台及企業官網的程式語言PHP，近日被發現兩個重大安全漏洞，可能讓駭客不需帳號密碼，就能遠端入侵網站伺服器。
日本首相高市早苗10月21日晚間緊急發文，呼籲網站經營者儘速修補漏洞，必要時甚至暫時關站。法國政府網站、日本pixiv、niconico等服務已陸續預防性下線，台灣數位發展部資安署也發布警示。
儘管PHP官方已緊急釋出安全更新，但這次漏洞究竟有多嚴重，為何讓全球多個網站寧可暫時關站？一般使用者又會受到什麼影響？本文整理事件影響、資安風險及應對方式。
PHP是什麼？為何這麼多網站都靠它運作？
你每天看的新聞網站、使用的購物平台，背後可能都有PHP在運作。PHP是一種網站程式語言，負責處理許多使用者看不見的工作。例如，當你登入會員、把商品加入購物車，或打開新聞網站閱讀最新文章時，PHP就可能在背後協助網站完成這些操作。
可以把PHP想成網站背後的工作人員。使用者看到的是網頁畫面，PHP則負責處理部分幕後工作，讓網站正常運作。
它之所以無所不在，很大一部分要歸功於WordPress。
根據網站技術統計機構W3Techs截至10月22日的資料，全球39.6%的網站使用WordPress架設，而WordPress本身就是用PHP寫的。除此之外，Drupal、Joomla、Magento這幾套常見的內容管理與電商系統，底層同樣是PHP。數位發展部資安署在10月22日的新聞稿裡特別提醒，部分軟體沒有明說，內部其實也是用PHP在跑。
據W3Techs說法，在能辨識出伺服器端程式語言的網站中，有69.3%使用PHP。這說明了PHP有多普及，也因此一個PHP的漏洞才會變成整個網路的集體事件。
不過，並非所有網站都使用PHP。近年透過AI工具開發網站的「Vibe Coding」逐漸普及，許多新網站也使用JavaScript、Node.js等技術。因此，這次漏洞是否影響網站，仍取決於背後使用的技術與PHP版本，不能把所有網站都視為高風險。
這次的漏洞有多嚴重？為什麼駭客不用密碼也能進來？
這次PHP漏洞最危險的地方，是駭客可能不需要知道網站管理員的帳號密碼，就能從遠端讓網站伺服器執行惡意程式。
舉例來說，假設你經營一家購物網站，原本只有管理員能操作後台系統，但駭客可能利用漏洞，繞過正常的安全限制，讓伺服器執行不該執行的指令。
一旦攻擊成功，駭客可能竊取網站資料、竄改網頁內容，甚至在特定條件下進一步控制系統。至於能做到什麼程度，仍取決於網站本身的權限設定與安全防護。
資安領域將這類攻擊稱為「未經驗證的遠端程式碼執行」（RCE）。這次PHP修補的兩個漏洞，編號分別為CVE-2026-109618與CVE-2026-109619，CVSS v4.0（通用漏洞評分系統）評分都是9.2分，屬於最高的「嚴重」等級。
簡單來說，一般的網站漏洞像是某扇窗沒關好，駭客得先找到那扇窗；這次的漏洞則是大門的鎖本身有問題，而且許多網站使用相同的底層技術。
資助PHP開發與資安工作的PHP基金會（The PHP Foundation）資安工程師Volker Dusch對《華爾街日報》說，這是PHP十多年來面臨過最嚴重的資安問題，他把它比作2014年迫使全球數十萬台伺服器緊急修補的Heartbleed漏洞。
為什麼這麼嚴重？因為漏洞出在PHP最核心的兩個部分：記憶體管理與錯誤處理。PHP基金會在10月21日的聲明裡指出，這兩個部分是「幾乎每一個網頁請求都會經過的地方」，牽連之廣，也是它後來難修的原因。
不過，成功利用漏洞不代表駭客一定能完全控制整台伺服器。惡意程式通常會以網站程式原本擁有的權限執行，實際影響取決於系統設定與防護措施。但《華爾街日報》指出，遭入侵的網站還可能被用來攻擊造訪者，讓風險進一步擴散。
但也別過度恐慌，以下三件事必須分清楚：
- 用PHP不等於中鏢：有沒有受影響，看的是修補狀態。更新到修補版本後漏洞就關上了；但更新不能證明之前沒被打過，所以資安署才建議更新後查日誌。
- 有風險不等於已經被駭：網站暫時打不開，常見的情況是經營者預防性下線檢查。
- 風險高低看架構：PHP官方公告明確表示，所有對外提供網頁服務的PHP安裝都在範圍內，其中一種常見的伺服器架構（技術上稱Apache搭配mod_php）風險最高，因為已經有人示範，攻擊可以在網站自己的程式碼開始執行之前就得手。
Cloudflare技術長Dane Knecht在10月21日表示已觀察到早期攻擊出現，PHP官方也明說：沒有任何完整的替代防護措施，更新是唯一安全的選擇。
哪些網站先關站了？為什麼寧可暫時停止服務？
PHP漏洞引發全球網站緊急應變，從政府機關、醫院到大型網路平台，都有服務暫時下線。不過，這些網站並非已確認遭駭客入侵，而是經營者為降低風險，主動採取預防措施。
歐洲方面，《路透》報導，10月21日多國政府網站陸續下線，包括法國政府網站info.gouv.fr。德國柏林的夏里特大學醫院也基於安全考量關閉官網，暫停線上預約服務，但院方未說明具體防範的威脅。歐盟資安應變團隊CERT-EU則建議，無法立即修補漏洞的單位，應暫時關閉受影響的網站。
日本同樣出現大規模預防性停站。除了首相高市早苗親自發文示警，《Impress Watch》報導，pixiv、niconico等大型平台及多款線上遊戲，自21日晚間起陸續進入緊急維護，以防範漏洞修補程式公開後可能出現的攻擊。
台灣數位發展部資安署也在22日發布警示，通知政府機關與企業，呼籲使用PHP的機關、學校及企業儘速確認版本並完成更新。
為什麼寧可暫時關站？因為修補程式一旦公開，駭客也可能從中反推出漏洞位置，搶在網站完成更新前發動攻擊。 尤其AI可能加快分析漏洞、產生攻擊程式的速度。發現漏洞的資安公司Calif執行長Thai Duong就向《華爾街日報》警告，任何人都可能利用AI分析修補程式，進而產生攻擊腳本。
因此，對無法立即完成更新的網站而言，暫時停止服務，是降低遭入侵風險的措施之一。
一般人需要擔心嗎？網站經營者該做什麼？
一般使用者不需要在個人裝置安裝PHP修補，但仍要留意熟悉網站上的異常下載、轉址或登入要求。網站經營者則須確認：負責管理PHP的人，是否已經完成修補？依你的身分，可對照下方行動卡。
一個2024年就被發現的PHP漏洞，為什麼直到AI介入才加速修補？
這次引發全球網站緊急修補的PHP漏洞，其實早在2024年就已經被發現，但當時沒有人能證明駭客可以利用它入侵網站。直到AI協助找出攻擊方法，才讓問題的嚴重性真正浮上檯面。
2024年，PHP在德國主權科技局（Sovereign Tech Agency）出資下，進行多年來第一次外部資安稽核。一名核心開發者在處理稽核發現的問題時，察覺PHP在記憶體用盡時存在處理瑕疵，但當時沒有找到具體的攻擊方法。
既然已經發現問題，為什麼沒有立即修補？原因在於PHP是許多網站依賴的底層技術，修改核心程式可能讓原本正常運作的網站出問題，甚至造成服務中斷。此外，部分修補方案還需要其他PHP擴充套件配合調整，牽涉範圍相當廣泛。
加上開發團隊採共識決，熟悉PHP核心架構的資深工程師又不足，修補工作因此反覆停擺。PHP基金會事後坦言，這次延誤是資安決策流程與資源不足共同造成的「結構性失敗」。
真正的轉折點，是AI協助研究人員證明：這個原本只被視為潛在風險的問題，確實可能成為駭客入侵網站的工具。
資安公司Calif研究員Ryan Austin借助OpenAI的GPT-5.6 Sol，成功證明漏洞可被用來遠端執行程式碼。資安公司Wiz也向《路透》表示，要證明這些漏洞可以被利用，所需的一連串步驟，已經接近人類研究者實務能力的極限。
當攻擊風險獲得證實，PHP開發團隊隨即加速修補，多名工程師全職投入，連週末都持續趕工。《華爾街日報》指出，這次修補涉及近200個檔案、超過1萬行程式碼。
這也凸顯AI在這次事件中的角色：它協助研究人員找出漏洞的實際攻擊方法，但要在不影響大量既有網站的情況下完成修補，仍需要工程師投入大量工作。
AI讓找漏洞變快，但懂得怎麼修的人還是太少
PHP事件揭露了一個更大的資安問題：AI正在加快漏洞被發現與利用的速度，但負責維護網路底層技術的人力，未必跟得上。
過去，要找出這類複雜漏洞的攻擊方法，往往需要頂尖資安研究人員投入大量時間。如今，AI可以協助分析程式碼、尋找弱點，甚至測試不同的攻擊路徑，讓原本極為困難的研究工作加速完成。
而且不只有Calif借助AI找到攻擊方法，OpenAI與Wiz也各自透過AI發現攻擊路徑。隨著AI輔助資安研究逐漸普及，PHP資安團隊收到的漏洞通報量也大幅增加。自7月1日以來，團隊已公告15個漏洞，另外還處理了超過100件無效、重複或無法重現的通報。
但這項技術同樣可能被駭客利用。
當軟體開發者公開安全更新，駭客也可能利用AI分析修補前後的程式碼差異，反推出漏洞所在，進一步開發攻擊工具。這意味著網站經營者從得知漏洞到完成修補，可能面臨更大的時間壓力。
然而，AI能協助找出問題，卻無法取代熟悉整套系統的資深工程師，判斷該如何安全地修補。
PHP基金會雖然在2026年5月成立生態系資安團隊，並於7月和9月各增聘一名資安工程師，但人力仍然不足。支撐全球大量網站運作的PHP，資安維護至今仍仰賴一小群基金會資助的開發者與志工。
因此，PHP基金會在聲明最後，直接向依賴PHP營運的企業、主機商、雲端平台與政府機構喊話：請依照對PHP的依賴程度，提供資金支持。
當AI讓尋找漏洞的速度越來越快，全球網站仰賴的開源軟體，是否有足夠的人力與資源及時修補，將成為越來越迫切的資安挑戰。
(本文出自數位時代)
