PHP爆重大漏洞 全網恐慌48小時！救火者竟是位20年志工
全球約七成網站使用的PHP曝出重大漏洞，引發48小時資安恐慌，各國政府網站緊急下線，攻擊嘗試迅速攀升。協助大量網站搶修的關鍵人物，卻是一位鮮為人知的捷克志工Ondřej Surý。
他將修補程式打包成可直接安裝的套件，讓網站管理員加速更新，也讓網路基礎設施長期仰賴少數志工的脆弱現實浮上檯面。
PHP支撐全球約七成網站運作，這次被稱為「PHP2Shell」的兩個漏洞，通用漏洞評分系統（CVSS）分數均達9.2分，允許未經身分驗證的攻擊者，在伺服器上執行任意程式碼。
這意味著，攻擊者不需要密碼或特殊權限，就可能接管伺服器。不過，PHP的普及率並不代表所有使用PHP的網站都已遭到入侵。
漏洞提前曝光 全球網站急拉警報
Cloudflare執行長Matthew Prince表示，漏洞公開前10小時，公司網路已觀察到數千次利用漏洞的嘗試；公開後45分鐘增至數萬次，兩小時內達數十萬次，之後更累積至數百萬次。
德國聯邦資訊科技中心預防性關閉多個政府網站，芬蘭、法國及比利時也對公共部門網站採取保護措施。美國網路安全暨基礎設施安全局（CISA）、歐盟CERT-EU及英國國家網路安全中心（NCSC）則接連發布警告。
CERT-EU提醒，許多商用與開源產品採用PHP作為後端，即使沒有直接對外提供PHP服務，也可能受到影響。
修補提前一天 管理員被迫搶時間
PHP安全團隊原定週四發布修補程式，但漏洞資訊提前外洩，一段概念驗證攻擊示範影片開始流傳，迫使團隊將發布時間提前至週三，準備時間因此少了一天。
影片來自軟體供應鏈安全公司Chainguard。該公司執行長表示，團隊使用公司的AI工具及一款先進模型，只下達「找出PHP中的嚴重漏洞」這類基本指令，就找到了同一批記憶體毀損漏洞。
Chainguard隨後與PHP維護者合作，確認部分發現與既有漏洞報告相符，並協助測試修補程式。他強調，這些漏洞相當複雜，團隊花了好幾個月，才做出真正可用的修補程式。
他也警告，往後只要知道某款軟體存在漏洞，就可能在幾小時內開發出攻擊程式，甚至不必事先掌握漏洞的確切位置。
關鍵一步 靠志工完成
危機升高之際，Surý的名字開始在Reddit與X上被反覆提起。一名PHP社群用戶寫道：「Ondřej今天會拯救網路。」
軟體開發者Ian Landsman也發文形容，世界上大部分PHP發行版都仰賴這個人維護，如果他出了什麼事，許多人都會受到牽連。
這種說法雖有誇張成分，卻凸顯Surý在軟體更新流程中的重要性。他的正職是Internet Systems Consortium的DNS工程總監，維護PHP套件則是持續超過20年的志工工作，也不是由PHP基金會支付薪資。
他的任務並非獨自修復漏洞，而是將PHP專案發布的原始碼，打包成能直接安裝到伺服器上的軟體套件，讓網站管理員更快完成更新。
沒有這一步，使用者仍可取得原始碼自行編譯，但過程更複雜，也不是每個人都具備相關技能。透過預先準備好的套件，同一份更新便能部署到數百、數千台伺服器，省去各自編譯的時間。
網路一片恐慌 他卻相當冷靜
Surý接受《大西洋月刊》訪問時表示，外界雖然恐慌，這48小時對他而言卻沒有特別瘋狂。
原因之一是，他已經做這份工作超過20年，許多流程早已自動化；另一個原因則是，他自己沒有任何運行PHP的系統，可以專注準備套件。
他認為，PHP專案事先將他納入知情範圍，讓他能在漏洞公開前做好準備，才是這次能及時應對的重要因素。
「現在出了狀況，需要解決，解決的方法也明確了。我有時間做好準備。」他如此形容當時的心情。
但他也坦言，如果事發時自己正在亞得里亞海中央的船上，情況就可能完全不同。這個假設也點出，當大量網站依賴少數維護者時，個人的時間與可用性，都可能影響更新速度。
延宕近兩年 暴露結構性問題
這場危機不只是漏洞提前曝光的結果，也揭開開源軟體長期面臨的資源問題。
PHP基金會事後承認，其中一個漏洞的修復線索，早在2024年的外部安全稽核中就已出現，但因資源不足、決策流程效率低落，加上真正深入理解PHP引擎內部機制的人太少，修復工作延宕近兩年。
基金會將此稱為「結構性失敗」，而這個問題並未因緊急修補就獲得解決。
Surý的志工工作，長期以來主要靠金額不大的捐款支持。這次事件受到關注後，他在24小時內收到的捐款，幾乎相當於過去一整年的總額。
他也開始與軟體公司Freexian的Raphaël Hertzog討論緊急接手方案。Surý表示，自己的優勢是多年經驗，知道如何讓系統正常運作，而Freexian同樣具備專業能力，必要時可以接手。
修補尚未完成 風險仍在
Surý指出，若未及時更新，最基本的後果是網站遭破壞或癱瘓；攻擊者也可能取得設備控制權，將其納入殭屍網路，出售相關服務，或利用伺服器挖掘加密貨幣。
他認為，這類攻擊如今主要涉及具有經濟動機的組織犯罪集團，已不只是出於好玩的個人行為。由於並非所有使用者都完成修補與升級，這些風險仍然存在。
至於網路流傳「部分舊版PHP無法修補，三分之一網路永久受損」的說法，Surý明確否認。他表示，舊版也有修補方法，只要使用者願意處理，仍能完成更新。
AI加快攻防 維護資源不能再忽視
這次PHP漏洞由Wiz、Calif與OpenAI研究人員借助AI發現，也讓外界更加擔心，AI找出及利用漏洞的速度，可能超過防禦者的應變能力。
此前，資安社群已因一連串漏洞事件感到不安。約翰霍普金斯大學教授、密碼學家Matthew Green甚至形容，網路像是一堆乾燥的引火物，只差有人找到火柴。
Surý同意，資安攻防正在加速，防禦者也能利用大型語言模型主動找出漏洞。但他認為，根本問題仍是人們把資訊科技基礎設施視為理所當然，沒有投入足夠的維護資金與重視。
他希望，從開源軟體獲益最多的企業，能為維護者付出的時間與勞動提供回報。若長期依賴少數人的熱情，卻不給予相應支持，最終可能讓他們失去持續投入的動力。
對Surý而言，社群留言與感謝郵件讓他感受到工作的價值。但這場48小時危機留下的問題，遠超過一位幕後英雄的故事：支撐大量網站運作的基礎設施，如何獲得足夠資源，讓維護工作能夠持續下去。
更多鉅亨報導
•AI「自動模式」全球上線資安隱憂：OpenAI代理驚爆私關防護、說謊與沙盒漏洞
•漏洞還沒公開駭客就出手！PHP資安危機掀全球停站潮