PHP爆重大資安漏洞　專家警告恐引發駭客入侵潮

2026-10-22

程式語言PHP存在重大安全漏洞，專家警告，隨著修補程式公開，駭客可利用AI迅速找出漏洞並發動攻擊，恐引發一波入侵潮，歐洲多國政府和企業已預防性關閉網站，以降低資安風險。

路透社報導，PHP開發團隊今天緊急發布新版修補程式，修復軟體中潛藏多年、直到近期才藉由人工智慧（AI）技術發現的漏洞，並呼籲所有用戶「立即套用更新」。

科技公司警告已有駭客利用這些漏洞入侵網站，歐洲多國政府機關因而採取預防性措施，讓相關網站離線。

由於修補程式現已公開，加上人工智慧（AI）工具能輕易對該漏洞進行逆向分析，資安專家警告，駭客可能趕在網站更新修補程式前搶先發動攻擊，相關人員正嚴陣以待，防範可能出現的入侵潮。

資安研究與事件應變公司TLP:Black共同創辦人雷尤（Costin Raiu）表示，AI正在助長一場「搶攻漏洞的競賽」。他說，接下來可能出現「網路上所有存在漏洞的網頁伺服器遭大規模入侵」的情況。

PHP是一種可追溯至1990年代初期的程式語言，默默支撐WordPress、Drupal、Joomla和Magento等系統、共享主機平台、控制面板，以及許多根本不會標示底層使用PHP的軟體，因此任何重大漏洞都可能引發廣泛的連鎖影響。

Drupal協會代理執行長法里斯（Tiffany Farriss）表示：「所有使用過去20年發布的任何PHP版本的伺服器，都會受到這項漏洞影響。這個問題牽涉網際網路上絕大多數網站。」

全球資安機構已呼籲PHP用戶立即更新，或在安裝修補程式前暫時關閉網站。

網際網路情報公司Censys的資料顯示，在260萬台主機中，約有150萬台通報仍在執行尚無修補程式可用的PHP版本。

AI協助發現漏洞
兩家資安公司在各自發布的報告中指出，PHP的安全漏洞是透過AI技術所發現。

資安公司Calif在部落格文章中表示，公司8月1日借助大型語言模型（LLM）發現這些漏洞，此後便一直著手開發修補程式。

Alphabet旗下網路安全公司Wiz也在部落格文章中指出，公司同樣利用AI工具發現漏洞，包括自主式AI漏洞研究工具Wiz Atlas，以及谷歌（Google）的Gemini 4 Argon和OpenAI的GPT-5.6 Sol。

Wiz表示，這些漏洞在PHP程式碼中潛藏超過10年，對人類駭客而言，要利用漏洞發動攻擊極為複雜，「在AI出現之前，這類工作不僅難以執行，更難擴大規模。如今有了AI，這已不再是障礙」。

Calif與Wiz表示，他們發現漏洞後，已與PHP開發團隊及OpenAI協調處理。

白宮在聲明中表示，美方於本月16日獲悉這項漏洞。

亞馬遜資安主管摩西（CJ Moses）在部落格文章中表示，亞馬遜資安團隊於10月17日偵測到有人試圖利用這些漏洞，攻擊其一套誘捕系統（honeypot）。

亞馬遜說，目前仍無法確定這些攻擊能否成功入侵實際運作的網站，但這些漏洞「如今已在真實環境中遭到廣泛利用」。

關鍵軟體面臨風險
PHP是一種用來運作網站的程式語言。當訪客載入網頁時，執行PHP的伺服器會組合網頁內容，並傳送至瀏覽器。PHP是免費的開放原始碼軟體，由志工維護。

根據網路技術追蹤機構W3Techs，在能夠辨識所使用程式語言的網站中，大約75%使用PHP。

倫敦國王學院（King's College London）客座資深研究員奧萊尼克（Lukasz Olejnik）表示，近幾週激增的AI輔助駭客攻擊行動，可能對尚未安裝修補程式的伺服器造成嚴重破壞。

WordPress.com營運商Automattic表示，使用該公司託管服務及Tumblr的用戶不受這項漏洞影響。

相較之下，由個人或技術資源有限的組織經營、以PHP驅動的小型網站風險較高。這些網站經常採用共享主機服務，客戶無法直接管理底層伺服器。

多地網站大規模離線
在荷蘭，多個組織跟進國家網路安全中心（National Cyber Security Centre）的做法，暫時關閉對外公開的網站，包括鹿特丹港（Port of Rotterdam）、政府入口網站Overheid.nl、荷蘭足球協會（KNVB）、全國5大政黨網站，以及多家醫院網站。

丹麥市政IT公司Kombit表示，已關閉多項服務，包括全國學校通訊平台。

芬蘭受到的影響範圍更廣，負責提供國家資訊科技服務的Valtori表示，政府公共網路服務已「基於預防性措施」暫時下線。

法國內政部則表示，已將旗下所有網站轉入預防性維護狀態。

（相關資訊來自CNA）

影響平台
已停止維護(EOL)之版本：
PHP 5.4.x至5.6.x之所有版本
PHP 7.0.x至7.4.x之所有版本
PHP 8.0.x至PHP 8.1.x之所有版本
官方仍支援之版本：
PHP 8.5.11(含)以下版本
PHP 8.4.26(含)以下版本
PHP 8.3.35(含)以下版本
PHP 8.2.34(含)以下版本
註：WordPress、Drupal、Joomla及Magento等內容管理系統之底層架構多使用PHP運作，建議盤點與儘速進行處置。

處置建議
 
官方將針對漏洞釋出修補或更新，建議系統管理者儘速將PHP升級至下列受支援之最新安全版本：
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
官方更新公告與下載網址：
https://www.php.net/downloads.php

群盟主機已同步執行相關防護作業，風險已降低，我司將持續監控並關注官方最新動態即時同步。