CISA發布緊急指令限期修補！PHP爆發高危漏洞 引發全球網站預防性關閉潮

全球網路安全近日面臨嚴重考驗，支撐全球約七成網站運作的開源程式語言 PHP 被揭露存在兩項高危險性安全漏洞(CVE-2026-109618 與 CVE-2026-109619，統稱為 PHP2Shell)。美國資安暨基礎設施安全局(CISA)已將其納入「已知被利用漏洞」目錄，命令所有聯邦民事機構於限期內完成修補，全球多國政府機關與企業更掀起一波預防性關閉網站的風潮。

AI輔助挖掘十年隱蔽漏洞 攻擊門檻隨之降低

這兩項漏洞風險評分高達 9.2 分(滿分 10 分)，屬於未經身份驗證的遠端程式碼執行(RCE)漏洞。由於漏洞存在於 PHP 解釋器核心的記憶體管理與錯誤處理機制中，已潛伏超過十年，且可在網站業務程式碼執行前被觸發，因此單靠傳統應用程式防火牆難以獲得完全防範。

資安公司 Calif 與 Wiz 利用人工智慧(AI)大語言模型進行審計，僅用兩天便找到了觸發入口。然而，AI 在加速資安防衛的同時，也縮短了攻擊者開發攻擊工具的時間。

TLP:Black 資安研究與事件應變公司共同創辦人 Costin Raiu 指出，AI 正推動一場「利用競賽」，下一步將是「網路上所有受威脅 Web 伺服器的大規模入侵」。

全球數百萬次攻擊嘗試 專家警告長尾威脅

漏洞資訊意外洩露後，全球網路攻擊呈指數級激增。Cloudflare 執行長 Matthew Prince 透露，在漏洞公開前 10 小時內已紀錄數千次攻擊嘗試，公開後短時間內便攀升至數百萬次。亞馬遜資安主管 CJ Moses 也證實，其誘捕系統(Honeypot)在公開披露前數日即偵測到來自匿名網路的攻擊嘗試。

為避免遭入侵，英國、荷蘭、芬蘭、法國、日本及澳洲等國政府與企業紛紛預防性下線部分公共服務網站。日本 SoftBank 甚至一度暫停發送地震與津波等緊急災害警報推播。

多位資安專家對後續演變表達深切擔憂。Calif 資安研究員Ryan Austin表示，這是他所發現「最嚴重的漏洞」，攻擊者利用該漏洞就像「從前門直接闖入房子」，能在內部網路自由遊走並發動勒索軟體攻擊。

英國薩里大學資安專家教授Alan Woodward強調， PHP 全球使用量巨大，最令人擔憂的是大量缺乏維護的小型網站將形成「長尾效應」，帶來長達數週甚至數月的持續性攻擊威脅。

網路基礎設施專家Michał Woźniak警告，駭客可能利用漏洞將受害者伺服器轉為加密貨幣挖礦機，或作為國家級駭客與犯罪組織發動分散式阻斷服務(DDoS)攻擊的跳板，並批評軟體產業長期存在「重快速部署、輕後續維護」的環境缺陷。

PHP 基金會已緊急發布修補程式(Patch)，並強烈呼籲所有網站管理者立即更新。資安專家／道德駭客 Ken Munro 說明，安裝修補程式就像「執行 Windows 系統更新」，網站擁有者必須承擔修復責任。

雪梨新南威爾斯大學資安研究員 Salil Kanhere 提醒，一般民眾應保持警覺，留意相關服務的密碼變更通知，並提防利用此熱門事件發動的社交工程與釣魚郵件。