兩個嚴重 PHP 漏洞評分達 9.2、可追溯至 PHP 5.4，且由 AI 協助發現

新聞摘要

2026 年 10 月 21 日，PHP 專案針對兩個嚴重漏洞發布了緊急安全性更新，編號分別為 CVE-2026-109618 與 CVE-2026-109619，這些漏洞可能讓未經身分驗證的攻擊者在處理網路請求的伺服器上執行遠端程式碼。這些缺陷存在於語言執行環境中歷史悠久的部分，是透過先進 AI 模型的協助而揭露，並影響著支撐絕大多數網站的技術。TechCrunch 於同日上午 10:59（太平洋夏令時間，PDT）刊出報導，而安全性研究人員、雲端服務供應商與主機代管公司則在當天不斷呼籲網站營運者盡快更新。

發現了什麼

根據 Google Cloud、Patchstack 與 The Hacker News 轉述的 PHP 公告，這兩個漏洞的 CVSS v4.0 分數皆為 9.2，屬於「嚴重」等級。其中一個被描述為記憶體生命週期錯誤，即請求所擁有的內部狀態在其背後的記憶體被釋放後仍可能繼續存在。Wiz Research 表示，這兩個問題中至少有一個影響自 5.4 以來的所有 PHP 版本；TechCrunch 則指出，這些缺陷自 2004 年開始的 PHP 5 時代便已存在。部分報導將這對漏洞暱稱為「PHP2Shell」。這些漏洞可能讓攻擊者存取伺服器的檔案系統或網路應用程式所使用的資料庫。

誰發現了它們以及如何發現

OpenAI 表示，該公司在其「Patch the Planet」計畫下，花了大約兩個月的時間帶領由維護者、研究人員與安全性供應商組成的聯盟共同處理此問題。安全性測試公司 Calif 使用 OpenAI 的 GPT-5.6 Sol 模型發現了一個嚴重漏洞，而 OpenAI 則描述 Wiz 獨立發現並通報了這兩個漏洞。一篇新聞報導描述了這樣的時間軸：Calif 在八月發現了該錯誤的早期版本，而更完整的版本則在九月浮現。

如今已成為 Google 旗下公司的 Wiz 表示，其團隊將自家的 Wiz Atlas 安全性代理程式與 Google 的 Gemini 4 Argon 及 OpenAI 的 GPT-5.6 Sol 結合使用。Wiz 報告指出，這些工具有助於找出弱點、建立概念驗證攻擊程式、建立偵測邏輯以及驗證修補內容。Wiz 針對 WordPress、Drupal 與 Joomla 的最新容器映像檔示範了未經身分驗證的遠端程式碼執行，並展示 PHP 工作處理程序的記憶體（可能儲存密碼、權杖與 API 金鑰）可被讀取。各方報導對於 AI 在此過程中自主程度為何說法不一，分析師也指出，相關揭露並未顯示每一項發現都完全由模型單獨完成。人類研究人員與 PHP 維護者仍是這項工作的核心。

修補方式與應採取的行動

已修補的版本為 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，皆於 2026 年 10 月 21 日發布。PHP 8.1 及更早版本已終止支援，不會再收到修補程式，因此仍使用這些分支的營運者必須遷移至受支援的版本。PHP 表示，所有提供網路請求服務的安裝環境都存在風險，其中以使用 Apache mod_php 的設定暴露程度最高。Wiz 指出，此次修補解決了根本問題，包含其他變種。

美國國家安全局於 2026 年 10 月 21 日星期三發布了一份名為《NSA 公告：PHP 更新》的公告。該公告建議，任何無法立即修補的網站都應下線，直到套用防護措施為止，並表示後續會提供更具體的指引。CISA 也發布警報，敦促盡速修補。由於確切措辭對合規作業相當重要，營運者應直接閱讀原始公告。

影響範圍有多大

TechCrunch 引用 W3Techs 的數據指出，在可偵測到伺服器端語言的網站中，約有 70% 由 PHP 驅動，並提到部分報導估計受影響網站數量高達數千萬個。基於 PHP 運行的 WordPress 表示，此問題並非其軟體所特有。運行 WordPress 內容管理系統的網站必須更新伺服器的 PHP 執行環境，並與其主機代管供應商協調。Wiz 感謝 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 與 Vercel 協助應對此事，OpenAI 也將 Cloudflare 列為參與者之一。

遭利用狀況

整體情況仍在發展中。OpenAI 表示，其研究人員在攻擊者之前發現了這些漏洞，而 CISA 在發布警報時尚未觀察到任何遭利用的情形。其他報導則描述了早期的探測行為：Patchstack 表示其遙測數據顯示有探測嘗試，但沒有遭到入侵的確切證據；The Hacker News 則提到出現了攻擊嘗試。Cloudflare 在同日表示細節已經外洩，且攻擊者正鎖定其部分客戶。讀者應將此情況視為初期階段，並假設在修補程式公開後，未修補的伺服器目前正面臨風險。

這對科學與技術為何重要

此事件展現了現代 AI 模型如何解讀龐大且已有數十年歷史的程式碼庫，並找出人類審查者與傳統模糊測試所遺漏的細微記憶體處理錯誤。Wiz 警告，AI 同時也降低了攻擊者的門檻，因為語言模型可以協助將攻擊程式調整以適應不同的 PHP 版本、設定與記憶體配置。這使得協調且負責任的揭露機制更加重要，也就是研究人員在公開前先私下與維護者合作開發修補程式。OpenAI 提出了一套五階段框架，用於處理廣泛使用軟體中的嚴重漏洞，並將 PHP 版本檢查工具作為 Codex 技能發布，以協助管理員確認自身是否受到影響。

給網站擁有者的實務建議

檢查每台伺服器、容器映像檔與共享主機方案上執行的 PHP 版本。依據所使用的分支升級至 8.5.12、8.4.27、8.3.36 或 8.2.35，並重新啟動網頁伺服器與 PHP 工作處理程序，以載入新的執行環境。停止使用 PHP 8.1 及更早版本。若無法立即更新，請遵循 NSA 的指引，考慮在修補完成前將網站下線。更新後，請輪替可能已在伺服器記憶體中曝光的憑證與 API 金鑰，並檢視記錄檔以找出異常請求。