全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器

《華爾街日報》(WSJ)周三(21日)報導，人工智慧協助資安研究人員找出重大漏洞，如今也讓全球網站管理員面臨修補時間壓力。支撐全球多達七成網站的PHP技術，周三揭露名為「PHP2Shell」的嚴重安全問題，攻擊者可能藉此控制尚未修補的伺服器、竊取資料，甚至透過遭入侵網站攻擊訪客。

研究人員警告，先進AI不僅能協助找出漏洞，也可能加速駭客開發攻擊工具。部分網站管理員表示，已預防性關閉網站，避免在完成修補前遭入侵。七成是PHP的網站使用占比，實際風險仍取決於各網站的軟體版本、系統環境與修補情況。

PHP爆十多年來最嚴重漏洞 全球網站搶修

PHP2Shell涉及PHP管理電腦記憶體方式的一系列缺陷，攻擊途徑不只一種。駭客可能利用這些問題，在未修補的網頁伺服器執行未經授權的程式，部分攻擊只需數秒即可完成。

負責維護PHP專案的非營利基金會資安工程師Volker Dusch表示，這是PHP十多年來最嚴重的安全問題。他將其比擬為「心臟出血」(Heartbleed)漏洞，後者曾迫使全球管理員緊急修補數十萬台伺服器。

安全更新發布，往往也是攻防競賽的起點。防守方需要測試、安裝修補程式，攻擊者則會比對程式碼變動，找出漏洞位置並設計攻擊手法。資安專家指出，AI能比人類更快完成這些工作，進一步壓縮防守方的應變時間。

最早發現問題的資安公司Calif執行長Thai Duong警告，有人可能取得修補程式後，交由AI分析並公開攻擊腳本，屆時情況恐迅速失控。

AI挖出多年隱患 舊有風險變成可行攻擊

Calif研究員Ryan Austin今年8月檢查PHP原始碼時，在OpenAI模型GPT-5.6 Sol協助下發現這些漏洞。OpenAI資助了這次及其他程式碼安全檢查，協助開源專案處理AI陸續挖掘出的安全問題。

Thai Duong表示，這類缺陷已藏在PHP原始碼多年，數十年前就有研究人員指出相關風險，但當時被認為太難利用，逐漸遭到淡忘。

AI改變了這項判斷。Ryan Austin找出方法，只需向PHP伺服器發送數十次請求，就可能控制電腦記憶體中執行的程式碼。較小型系統可能數秒內遭攻破，複雜系統則可能需要數小時。

8月11日，Thai Duong致電Volker Dusch示警。研究人員與軟體工程師隨後組成非正式工作小組，聯合軟體發行商及資安公司研擬修補與防禦措施。

Google旗下Wiz資安團隊也獨立發現新的漏洞利用方式，OpenAI研究團隊同樣提出相關發現。研究人員擔心，犯罪者可能藉AI快速擴大攻擊，在大量網站完成更新前下手。

修補消息提前外洩 團隊緊急提前發布更新

Wiz共同創辦人Ami Luttwak形容，PHP2Shell是迄今透過AI發現最嚴重的漏洞，複雜程度可能高到沒有AI就難以找出。研究團隊因此嚴守消息，避免攻擊者搶在修補完成前利用漏洞。

這次修補規模龐大，涉及近200個檔案，開發人員撰寫超過1萬行程式碼。原定更新日期為10月22日，未料周二Hacker News出現相關貼文，距離預定發布時間已不到兩天。

消息外洩後，PHP團隊決定提前發布修補程式，周二先通知外界準備迎接周三的重大安全更新。Volker Dusch表示，這項安排是在提醒防守方及避免留給攻擊者太多開發時間之間，取得適當平衡。