PHP漏洞拉響全球資安警報 多國急關閉網站

從事網絡安全相關業務的Wiz等企業於10月21日公布了超文字前處理器（PHP）的兩項安全漏洞。由於PHP用途廣泛，全球70%的網站或受影響。多個國家基於安全考慮已緊急關閉部份網站。

10月21日，Wiz、Quarkslab等研究機構與OpenAI公布了PHP的兩項重大安全漏洞，統稱為「php2shell」，漏洞編號分別為CVE-2026-109618和CVE-2026-109619。PHP是一種廣泛使用的通用腳本語言，為全球約70% 的網站提供技術支援，應用範圍涵蓋WordPress、Joomla、Drupal等內容管理系統，以及維基百科所使用的MediaWiki等平台。

此次漏洞存在於PHP核心程式碼中，因此影響範圍不僅限於特定網站平台。若攻擊者成功利用這些漏洞，可能在受影響的伺服器上執行惡意程式碼、竊取敏感資料，甚至竄改網站內容，對全球網絡服務構成重大安全風險。PHP已於10月21日發布了修補程式，修復核心引擎中的多項記憶體安全漏洞。

網絡安全科技公司Wiz表示，過去十年發布的每個PHP版本，至少受到其中一項漏洞影響，最早可追溯至PHP 5.4。攻擊者可以從遠端利用這些漏洞，部份漏洞甚至相當容易利用，因此強烈建議立即安裝修補程式。

軟件開發史上最嚴重的漏洞之一

Wiz認為：「這些發現可說是PHP歷來最嚴重的安全漏洞之一，甚至可能是軟件開發史上最嚴重的漏洞之一。相關底層缺陷已存在數十年，但要證明這些缺陷確實能被利用，需要一連串極為複雜的操作步驟，其難度幾乎超出人類研究人員在實務上所能達成的範圍。」

「但AI的使用大幅降低了這道門檻，讓一個長期存在的程式缺陷，最終轉變成可實際利用的攻擊方式。」

據Wiz介紹，這些漏洞會影響所有執行PHP 5.4或更新版本的網頁伺服器。當應用程式處理經過特殊設計的HTTP流量時，攻擊者可能利用這些漏洞造成阻斷服務（DoS）、遠端程式碼執行（RCE），以及資料暴露等問題。

Wiz是一家以色列創立的網絡安全科技公司，專注於雲端安全與AI安全，協助企業識別雲端基礎設施、應用程式及AI系統中的安全漏洞與風險，並提供風險分析與防護建議。在此次PHP漏洞事件中，Wiz利用自主AI研究工具及其它AI模型協助發現PHP核心的重大安全漏洞，並與相關團隊合作驗證修補措施。

Cloudflare也參與了這項跨組織的協調防護工作。該公司表示，已與PHP基金會、OpenAI、Wiz等機構合作，共同部署緩解措施，以保護整個互聯網。自2026年10月初起，Cloudflare便開始開發並部署網頁應用程式防火牆（WAF）防護規則，並在漏洞正式公開前約9小時完成部署。

Cloudflare還指出，漏洞訊息在正式發布日期前已外洩。

漏洞訊息在正式發布日期前外洩

Cloudflare在其網站發文中寫道，雖然漏洞在正式發布日期之前外洩，且Cloudflare觀察到有針對其客戶的攻擊，但已成功為所有客戶部署多項緩解措施。

Cloudflare表示：「我們通過追蹤防護規則的匹配次數，並將這些資料與規則邏輯交叉比對，觀察攻擊者如何不斷修改攻擊負載，試圖繞過我們的防護機制。」

Cloudflare還指出，為防禦php2shell，Cloudflare開發了「完整交易偵測」（Full Transaction Detection）功能。這是Cloudflare網頁應用程式防火牆（WAF）的一項新能力，可將同一筆HTTP交易中的請求與回應訊號結合起來進行分析。系統可依據回應規則，在來源伺服器的回應符合特定條件時，於其送達請求者之前予以封鎖。

Cloudflare的資安分析人員正持續監控攻擊活動，並會在未來數小時至數天內，視情況更新規則，以因應新出現的攻擊技術及變種。

多國和機構緊急關閉相關網站

10月21日，因PHP的重大安全漏洞，英國、荷蘭、法國、丹麥、芬蘭、德國、比利時及捷克等國的部份政府網站或公共服務暫時下線。

其中，荷蘭國家網絡安全中心（NCSC）通報，惡意人士可能利用這些漏洞，攻擊任何執行PHP的網站或網頁伺服器。目前尚未發現這些漏洞遭到實際利用的跡象，仍有多個網站基於預防措施而暫時下線，其中包括Overheid.nl、MijnOverheid.nl及DigiD等政府網站。

德國的聯邦IT服務供應商ITZBund暫時關閉多個網站，當局表示這是預防措施。比利時的外交部暫時關閉旗下網站。比利時當局表示，此舉是在接獲涉及漏洞利用的網絡攻擊報告後採取的措施；但比利時網絡安全中心表示，尚未記錄到針對比利時網站的攻擊。

捷克政府的網站於當地時間晚上7時暫時下線，以便部署必要的安全更新。英國的愛丁堡、布里斯托及牛津等地的市議會網站據報暫時下線。

除了政府機構外，部份非政府組織及民間企業也因「php2shell」重大安全漏洞而於10月21日暫時關閉部份網站或服務，包括維基媒體基金會（Wikimedia Foundation）的部份技術服務、提供人力資源管理服務的BambooHR，以及網絡論壇4chan和Something Awful等。#