連高市早苗都親自示警！PHP 爆重大漏洞，AI 挖出潛伏 20 年資安危機
全球網站爆發重大資安危機，廣泛應用於網站開發的 PHP 程式語言遭揭露兩項高風險漏洞，恐讓駭客在未經身分驗證的情況下，遠端執行惡意程式碼，甚至接管伺服器。事件嚴重程度連日本首相高市早苗都罕見親自示警，21 日晚間透過社群平台 X 緊急呼籲網站管理者盡速安裝修補程式，必要時甚至應暫時關閉網站，以降低遭受攻擊的風險。
高市早苗在 X 發文表示，這是希望各界當晚就能採取行動的緊急請求。她指出，PHP 安全團隊已針對兩項重大漏洞提出示警，呼籲使用 PHP 的網站管理者確認系統狀況，並在修補程式公布後盡速部署。若無法立即完成更新，暫時停止網站服務也是降低資安風險的有效措施之一。
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
— 高市早苗 (@takaichi_sanae) October 21, 2026
此次漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619，統稱「PHP2Shell」，兩者在 CVSS v4.0 評分皆達 9.2 分，屬於重大資安威脅。根據 W3Techs 統計，在已知伺服器端程式語言的網站中，約 69.3% 採用 PHP，包括 WordPress、Drupal、Joomla 等內容管理系統，以及電子商務平台 Magento，影響範圍相當廣泛。
其中，CVE-2026-109618 涉及 PHP 記憶體不足時的處理機制，可能造成內部資料尚未完整初始化就被錯誤使用；CVE-2026-109619 則與記憶體釋放後殘留的全域狀態有關。攻擊者可能藉此繞過身分驗證，在遠端執行任意程式碼，進一步竊取資料、修改網站內容，甚至控制受害伺服器。
值得注意的是，這次漏洞並非近期才出現，而是潛藏於 PHP 多年的程式缺陷，過去因利用條件極為複雜，難以形成實際攻擊，但隨著 AI 模型能力提升，原本難以被人類研究人員有效利用的弱點，如今也可能成為重大資安威脅。
此次漏洞研究過程同樣凸顯 AI 的重要性，資安研究團隊 Calif 利用 OpenAI 的 GPT-5.6 Sol 協助發現漏洞，Google 旗下資安公司 Wiz 也透過 AI 工具獨立發現相關問題。Google Cloud 指出，Gemini 4 Argon 在漏洞發現、攻擊驗證、威脅偵測及修補測試過程中均扮演重要角色。
然而 AI 技術也可能讓攻擊者更容易分析漏洞與開發攻擊工具，相關漏洞資訊在正式修補前便提前流出，資安業者隨即警告，駭客可能利用公開資訊迅速製作攻擊程式，使原本預留給系統管理者的修補時間大幅縮短。
這場資安風暴已造成全球多個網站及線上服務緊急應變，日本包括 pixiv、Niconico 等平台一度暫停部分服務，財務省也宣布暫時停止部分網站內容，以進行系統檢查及安全更新。歐洲多國政府網站同樣採取預防性停機措施，Wikipedia 等大型網站也受到影響。
PHP 開發團隊已於 10 月 21 日發布修補版本，包括 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，呼籲網站管理者立即更新。至於 PHP 8.1 與更舊版本，由於已終止官方支援，無法取得一般官方安全更新，必須儘速升級至仍受支援且完成修補的版本。
資安專家警告，這次事件不僅突顯網際網路基礎軟體長期累積的安全風險，也顯示 AI 正在改變漏洞攻防速度。當 AI 能在短時間內找出潛藏數十年的程式缺陷，企業資安防護與修補作業也必須跟上，否則原本難以利用的漏洞，可能迅速演變成大規模網路攻擊事件。
（首圖來源：日本首相官邸）