PHP 多年未解的漏洞為何現在才緊急修補？歐洲政府、醫院預防性停站，台灣資安署示警
廣泛用於 WordPress、Drupal、Joomla 等網站系統的程式語言 PHP，10 月 21 日緊急修補兩項重大漏洞，嚴重程度評分（CVSS v4.0）均達 9.2 分，可能讓未經身分驗證的攻擊者遠端執行程式碼。根據《Reuters》報導，荷蘭鹿特丹港、政府入口網站，以及德國、法國等國政府機關，都因此預防性暫停部分網站服務；台灣資安署也於 22 日發布警訊，呼籲企業儘速修補。
然而，這場緊急修補背後，還有一段曲折的事件經過。兩項漏洞原訂 10 月 22 日才公開，卻因資訊提前外洩，迫使 PHP 調整修補時程。更值得注意的是，相關底層安全問題早在多年前就已存在，直到今年才由研究團隊證明具體的遠端攻擊風險，前沿 AI 模型也在其中扮演重要角色。
這場原訂保密的漏洞揭露，為何突然演變成全球資安警報？AI 又如何讓多年未解的問題成為現實威脅？
漏洞資訊提前曝光，PHP 為何沒有立即發布修補？
這場緊急修補的導火線，是原本受到保密的漏洞資訊提前曝光。根據 PHP Foundation 10 月 21 日發布的事件回顧，10 月 20 日，兩項 PHP 漏洞的 CVE 編號開始在網路論壇及社群平台流傳，並被宣稱具有滿分 10.0 的嚴重程度。不過，當時並未洩漏具體攻擊技術，實際評分則為 9.2。
最早的公開消息之一出現在科技論壇 Hacker News。PHP 官方隨後提前發布安全更新預告，將原訂 22 日的修補日期提前至 21 日。
資安媒體《BleepingComputer》10 月 20 日報導，資安公司 watchTowr 執行長 Benjamin Harris 證實，兩項漏洞確實存在，原先受到保密揭露時程限制；研究團隊也相信已成功重現其中一項漏洞。不過，watchTowr 當時尚未觀察到漏洞在實際環境中遭利用的證據。
漏洞資訊提前曝光後，協調揭露過程又接連出現變數。PHP Foundation 指出，曾參與漏洞研究的資安公司 Calif 因誤判公開時程，意外發布展示攻擊驗證成果的影片。雖然隨後刪除，副本仍在社群流傳，讓部分攻擊技術細節進一步曝光。
10 月 21 日，軟體供應商 Chainguard 又在約定時間前六個多小時，提前發布包含修補程式的軟體映像檔。由於攻擊者可能分析修補前後的差異，反推出漏洞位置與利用方式，PHP Foundation 批評此舉增加了其他使用者尚未取得更新前的風險。
但 PHP 為何沒有在消息外洩後立即釋出修補？官方解釋，當時 Linux 發行版及其他軟體供應商仍在準備更新套件。如果立刻公開完整漏洞資訊，大量使用者可能知道風險，卻無法取得可直接安裝的修補版本。因此，PHP 選擇將發布日期提前一天，兼顧緊急應變與供應商的準備時間。
PHP 漏洞造成多大衝擊？各方採取了哪些應變措施？
這場漏洞警報，也已對實際網路服務造成影響。《Reuters》10 月 21 日報導，荷蘭鹿特丹港、政府入口網站 Overheid.nl、足球協會及多家醫院網站，都採取預防性停站措施；德國、法國、比利時及芬蘭等國政府機關，也暫時關閉部分網站。維基百科背後的 Wikimedia Foundation 同樣表示，已暫停部分系統，等待完成修補。
這些停站主要是預防措施，不代表網站已遭成功入侵。德國政府表示當時沒有已知的資安事件，芬蘭政府 IT 服務中心也未發現相關漏洞利用企圖。不過，重要公共服務即使尚未遭到攻擊，也可能因底層軟體漏洞而暫時中斷，凸顯資安風險對數位服務營運的影響。
PHP 最終於 10 月 21 日推出 PHP 8.5.12、8.4.27、8.3.36、8.2.35 等修補版本。與此同時，資安業者也陸續觀察到攻擊嘗試。《SecurityWeek》報導，watchTowr 等研究機構已在感測系統中發現漏洞利用嘗試，但當時尚未確認成功入侵。
網路服務業者 Cloudflare 也表示，已觀察到針對客戶的攻擊流量，並部署網站應用程式防火牆（WAF）防護規則。由於部分攻擊難以單憑網站收到的請求辨識，Cloudflare 也採用結合請求與伺服器回應的偵測方式，提高判斷準確度。
台灣方面，數位發展部資通安全署 10 月 22 日表示，已透過國家資安資訊分享與分析中心（N-ISAC）、TWCERT/CC 等管道通知機關與企業，呼籲盤點 PHP 系統、確認版本並儘速修補，同時檢查系統日誌及異常存取紀錄，確認是否有可疑活動。
PHP 多年未解的漏洞，為何直到今年才證明重大風險？
這起事件之所以值得關注，不只是影響範圍廣泛，更因為漏洞涉及的底層記憶體安全問題，早在多年前就已存在。根據 PHP 官方公告，這次修補的 CVE-2026-109618、CVE-2026-109619，分別涉及記憶體不足時的處理異常，以及系統發生錯誤後殘留的記憶體狀態，都可能讓攻擊者找到遠端執行程式碼的機會。
其中，使用 Apache mod_php 的環境風險尤其高，研究人員已證實，攻擊甚至可能在網站應用程式開始執行前就被觸發。也就是說，即使 WordPress 等網站程式本身沒有漏洞，底層 PHP 仍可能成為入侵途徑，單純更新網站外掛程式也無法排除風險。
如此嚴重的安全問題，為何過去一直未能解決？根據 PHP Foundation 的事件回顧，2024 年，PHP 接受資安公司 Quarkslab 的外部安全稽核。核心開發者在處理稽核發現的問題時，注意到記憶體不足處理流程存在異常，也曾推測可能出現攻擊途徑，卻始終未能找到具體方法，證明攻擊者可以藉此遠端執行程式碼。
其修補工作同樣面臨兩難。PHP 團隊提出的多種方案，可能破壞既有程式相容性、造成新的阻斷服務風險，或要求大量第三方擴充套件配合修改。加上熟悉 PHP 核心技術的開發人力有限、團隊難以決定修補方向，相關工作數度停滯。PHP Foundation 坦承，這是決策流程及資源不足造成的「結構性失敗」。
真正的轉折出現在今年 8 月。PHP Foundation 指出，參與 OpenAI「Patch the Planet」計畫的資安公司 Calif，於 8 月 11 日通報與先前記憶體問題具有相同根本原因的遠端程式碼執行漏洞；OpenAI 也在同一天獨立通報相關問題，Wiz 隨後於 24 日提出其他攻擊途徑。
這些研究成果讓原本難以確認的攻擊風險獲得具體證明。PHP Foundation 表示，自 8 月 11 日起，相關修補便成為資安團隊的最高優先事項。換言之，這次並不是漏洞突然出現，而是研究人員終於證明，長期存在的底層問題確實可能遭到遠端利用。而前沿 AI 模型，也在研究過程中發揮重要作用。
AI 如何讓過去難以利用的漏洞，變成現實威脅？
根據 Wiz Research 10 月 21 日發布的研究，團隊使用自家 AI 資安研究工具 Wiz Atlas，以及 Google Gemini 4 Argon、OpenAI GPT-5.6 Sol 等模型，協助分析 PHP 核心程式、開發攻擊方法，並在 WordPress、Drupal 等不同網站環境中驗證未經身分驗證的遠端程式碼執行。
過去，即使研究人員發現記憶體安全問題，也不代表能直接利用漏洞。不同 PHP 版本、伺服器設定及記憶體配置，都可能讓攻擊方法失效，需要投入大量時間分析、測試與修改。Wiz 指出，AI 模型能結合程式分析、測試及除錯工具，協助研究人員理解攻擊失敗原因、反覆調整利用方法，降低針對不同部署環境開發攻擊程式的難度。
Wiz 更估計，透過前沿 AI 模型與適當工具，一名研究人員一週內完成的工作，過去可能需要頂尖研究團隊數個月才能完成。不過，這是 Wiz 對自身研究效率的估計，並非獨立評測結果，也不代表攻擊已能完全由 AI 自主完成。Google Cloud 也在官方文章中指出，Gemini 4 Argon 不只協助漏洞發現與攻擊開發，也參與偵測方法設計及修補成果驗證。這顯示 AI 提升漏洞研究效率的同時，也能成為防禦端的工具。
不過，AI 提高漏洞研究效率，也可能讓軟體維護團隊面臨更大的處理壓力。根據 PHP Foundation 的說明，自今年 7 月 1 日以來，團隊已公布 15 項 CVE，另處理超過 100 件無效、重複或無法重現的漏洞回報。這些數字反映資安研究與回報活動的增加，但不能直接將所有成長歸因於 AI。
對 PHP 這類廣泛使用、原始碼公開的軟體專案而言，研究人員可以利用 AI 協助分析程式碼，但安全問題仍需要核心開發者逐一確認，並在修補過程中考量既有系統的相容性。這也讓漏洞研究效率與維護資源之間的落差更加值得關注。
這起事件反映的變化，不只是 AI 能找到更多漏洞，而是過去因攻擊開發過於複雜、被認為難以利用的問題，如今可能更快被證明具有實際威脅。對企業而言，除了立即更新受影響的 PHP 版本，也需要隨著最新研究成果及攻擊證據，重新檢視既有系統的風險與修補優先順序。
【推薦閱讀】
◆ 不必專職資安團隊，專家列出中小企業現在就能做的低成本防詐做法
＊本文開放合作夥伴轉載，資料來源：PHP Foundation、數發部資通安全署、《Bleeping Computer》、《Hacker News》、Wiz、Google Cloud、Cloudflare、《SecurityWeek》、《Reuters》，首圖來源：Pexels