全球70%網站陷資安危機！AI助攻挖出「致命漏洞」 多家網站下線
- 編譯：謝景沛
- 發佈時間：2026.10.22 11:00
- 最後更新時間：2026.10.22 11:00
- 編譯：謝景沛
- 發佈時間：2026.10.22 11:00
- 最後更新時間：2026.10.22 11:00
為全球多達70%網站提供運作動力的高普及程式語言PHP，於週三（21日）揭露一項名為「PHP2Shell」的致命重大漏洞。（示意圖／Shutterstock達志影像）
為全球多達70%網站提供運作動力的高普及程式語言PHP，於週三（21日）揭露一項名為「PHP2Shell」的致命重大漏洞。該漏洞允許駭客奪取任何運行PHP軟體之系統的控制權，進而竊取敏感資料或對造訪網站的用戶發動攻擊。資安專家警告，這是PHP十多年來面臨最嚴重的安全危機，衝擊程度堪比當年震撼全球的「Heartbleed（心臟出血）」漏洞。
AI協助挖出隱藏數10年漏洞 數秒內即可攻陷伺服器
據《華爾街日報》報導，這起漏洞是由資安公司Calif的研究人員奧斯汀（Ryan Austin）在今年8月進行PHP原始碼審查時發現。當時他借助了OpenAI當前最先進的模型之一GPT-5.6 Sol進行協助。
「PHP2Shell」屬於PHP管理電腦記憶體方式的結構性缺陷，實際上已隱藏於原始碼中長達數10年。雖然數十年前曾有研究人員指出該區域存在風險，但當時普遍認為難以被利用而被逐漸淡忘。然而，現代AI系統打破了這項限制。
研究人員發現，只需向運行 PHP 的伺服器發送數10個請求，即可控制記憶體中的程式碼。而在小型系統上，駭客僅需數秒鐘即可完成入侵，在較複雜的系統上也僅需數小時。
修補程式意外外洩 PHP團隊緊急防禦
由於PHP2Shell影響過於廣泛，由Google、OpenAI以及PHP專案非營利基金會組成的跨界小組，過去兩個月來高度保密地進行緊急修補。工程師修復了近200個檔案、撰寫超過10,000行程式碼。
然而，原本定於10月22日發布的修補程式，竟在發布前兩天於技術論壇Hacker News提前曝光。為了避免駭客搶先發動攻擊，PHP官方團隊被迫提前於週三發布緊急更新，全球無數網站管理員正陷入徹夜搶修的混亂中。
某些政府與商業網站為求保險，已預防性地將網站暫時下架，而網路領域在週三當天已陸續傳出多起試探性的攻擊報告。
專家警告：AI讓「攻擊」門檻降至新低
一般而言，官方發布修補後，資安防禦者有時間進行測試與安裝。但資安專家憂心，在AI工具普及的今天，駭客利用AI分析補丁的程式碼並自動生成攻擊腳本（Exploit Script）的速度，遠比人類工程師部署防禦的速度快上數倍。
Calif執行長泰當（Thai Duong）表示：「現在Twitter上的隨便一個路人，都可以拿著官方補丁讓AI去跑，幾分鐘內就能貼出攻擊腳本，屆時全網將陷入大亂。」
Wiz共同創辦人盧特瓦克（Ami Luttwak） 指出：「這是歷史上由AI所發現最嚴重的漏洞，若沒有AI的協助，這個漏洞的複雜程度可能永遠不會被人類發現。」
文章引用
