顯示廣告
隱藏 ✕
回列表(←)
Disp BBS guest 註冊 登入(i) 線上人數: 545
首頁(home) 上頁(↑) 下頁(↓) 末頁(end)
※ 本文轉寄自 ptt.cc 更新時間: 2026-10-22 11:09:35
看板 Stock
作者 blackpudding (甩奶抖肚拳)
標題 [新聞] 全球多達七成網站使用的PHP出事了！重大
時間 Wed Oct 21 23:04:26 2026

原文標題： 全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器

原文連結： https://news.cnyes.com/news/id/6635339
全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器 | 鉅亨網 PHP揭露十多年來最嚴重漏洞「PHP2Shell」，可讓未修補伺服器被控制、竊資料並攻擊訪客。
資安工程師Volker Dusch稱風險比擬Heartbleed。
修補涉及近200檔、逾1萬行程式碼，原定10月22日發布，因消息外洩提前周二通知、周三更新。 ...

 

發布時間： 2026-10-21 22:40

記者署名：段智恆


原文內容：
《華爾街日報》(WSJ)周三(21日)報導，人工智慧協助資安研究人員找出重大漏洞，如今也
讓全球網站管理員面臨修補時間壓力。支撐全球多達七成網站的PHP技術，周三揭露名為「P
HP2Shell」的嚴重安全問題，攻擊者可能藉此控制尚未修補的伺服器、竊取資料，甚至透過
遭入侵網站攻擊訪客。


研究人員警告，先進AI不僅能協助找出漏洞，也可能加速駭客開發攻擊工具。部分網站管理
員表示，已預防性關閉網站，避免在完成修補前遭入侵。七成是PHP的網站使用占比，實際
風險仍取決於各網站的軟體版本、系統環境與修補情況。


PHP爆十多年來最嚴重漏洞 全球網站搶修
PHP2Shell涉及PHP管理電腦記憶體方式的一系列缺陷，攻擊途徑不只一種。駭客可能利用這
些問題，在未修補的網頁伺服器執行未經授權的程式，部分攻擊只需數秒即可完成。

負責維護PHP專案的非營利基金會資安工程師Volker Dusch表示，這是PHP十多年來最嚴重的
安全問題。他將其比擬為「心臟出血」(Heartbleed)漏洞，後者曾迫使全球管理員緊急修補
數十萬台伺服器。


安全更新發布，往往也是攻防競賽的起點。防守方需要測試、安裝修補程式，攻擊者則會比
對程式碼變動，找出漏洞位置並設計攻擊手法。資安專家指出，AI能比人類更快完成這些工
作，進一步壓縮防守方的應變時間。


最早發現問題的資安公司Calif執行長Thai Duong警告，有人可能取得修補程式後，交由AI
分析並公開攻擊腳本，屆時情況恐迅速失控。

AI挖出多年隱患 舊有風險變成可行攻擊
Calif研究員Ryan Austin今年8月檢查PHP原始碼時，在OpenAI模型GPT-5.6 Sol協助下發現
這些漏洞。OpenAI資助了這次及其他程式碼安全檢查，協助開源專案處理AI陸續挖掘出的安
全問題。


Thai Duong表示，這類缺陷已藏在PHP原始碼多年，數十年前就有研究人員指出相關風險，
但當時被認為太難利用，逐漸遭到淡忘。

AI改變了這項判斷。Ryan Austin找出方法，只需向PHP伺服器發送數十次請求，就可能控制
電腦記憶體中執行的程式碼。較小型系統可能數秒內遭攻破，複雜系統則可能需要數小時。

8月11日，Thai Duong致電Volker Dusch示警。研究人員與軟體工程師隨後組成非正式工作
小組，聯合軟體發行商及資安公司研擬修補與防禦措施。

Google旗下Wiz資安團隊也獨立發現新的漏洞利用方式，OpenAI研究團隊同樣提出相關發現
。研究人員擔心，犯罪者可能藉AI快速擴大攻擊，在大量網站完成更新前下手。

修補消息提前外洩 團隊緊急提前發布更新
Wiz共同創辦人Ami Luttwak形容，PHP2Shell是迄今透過AI發現最嚴重的漏洞，複雜程度可
能高到沒有AI就難以找出。研究團隊因此嚴守消息，避免攻擊者搶在修補完成前利用漏洞。

這次修補規模龐大，涉及近200個檔案，開發人員撰寫超過1萬行程式碼。原定更新日期為10
月22日，未料周二Hacker News出現相關貼文，距離預定發布時間已不到兩天。


消息外洩後，PHP團隊決定提前發布修補程式，周二先通知外界準備迎接周三的重大安全更
新。Volker Dusch表示，這項安排是在提醒防守方及避免留給攻擊者太多開發時間之間，取
得適當平衡。





心得/評論：
好像很多網站跟遊戲伺服器都緊急維修了，美國白宮“日本首相、歐盟都有出來發聲，台灣
好像要看新聞才知道。美股資安股ddog、net等也受此消息有不錯的漲幅，明天資服股會漲
嗎？






--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.161.9.244 (臺灣)
※ 作者: blackpudding 2026-10-21 23:04:26
※ 文章代碼(AID): #1gsDHzoP (Stock)
※ 文章網址: https://www.ptt.cc/bbs/Stock/M.1792595069.A.C99.html
推 YHOTV4096   : 仁勳：看吧，需要更多AI基礎建設，才能支持發展安控1F 10/21 23:05
推 s90002442   : 可以蛋雕php惹2F 10/21 23:06
推 simba1222   : 一堆遊戲都在維修3F 10/21 23:08
推 eno03       : 我的推突然不開台 轉貼這篇 好像是怕被駭4F 10/21 23:09
推 heavenlyken : 攻擊者早就透過AI發現了吧 只是很低調而已5F 10/21 23:13
→ excercang   : 現在攻擊都能交給AI做了6F 10/21 23:14
推 livewater   : 日本網站和手遊網遊死一片7F 10/21 23:14
推 howard416   : 還真 FGO剛剛也在維修8F 10/21 23:17
推 STi2011     : 練習英文的APP 也是關一部分.....9F 10/21 23:19
推 loleea      : 用AI防禦啊10F 10/21 23:28
→ galleon2000 : 需要更多的AI，噴11F 10/21 23:29
推 joygo       : 好可怕 ai太危險12F 10/21 23:30
→ excercang   : 需要更多的記憶體13F 10/21 23:30
→ jjjj222     : 叫AI重寫, 可以把php蛋雕了14F 10/21 23:31
推 omanorboyo  : 以後AI會常常接管 先習慣15F 10/21 23:34
推 lakershank  : Ai在都更沒有跟上AI腳步的人16F 10/21 23:34
→ xxx60133    : 可能在展示AI重要性吧17F 10/21 23:35
→ xxx60133    : 被強迫跟上
推 YHOTV4096   : 我記得魔鬼終結者三，也是AI病毒襲捲網路，美國軍方19F 10/21 23:36
→ YHOTV4096   : 才啟動天網的。現在是AI先襲捲網路，但天網還沒佈建
推 Eric00132   : 台灣都不怕萬一呢21F 10/21 23:37
→ YHOTV4096   : 所以需要更多的基礎建設，做不會背叛人類的AI天網。22F 10/21 23:37
推 jackyyah    : 尼瑪的PHP害我要做一堆更新23F 10/21 23:37
→ excercang   : 以前覺得電影是天方夜譚，現在的感想是電影是先知24F 10/21 23:37
→ kivan00     : 這事情大條 很多公司是外包維運 為了省錢終止合約後25F 10/21 23:37
→ kivan00     :  裡面根本沒人會打patch
→ YHOTV4096   : 同時需要再更多的AI基礎建設，佈建監控天網的系統。27F 10/21 23:38
→ excercang   : AI發展的程度超出預期28F 10/21 23:38
推 horun       : SD鋼彈世紀 FGO 公主連結  都維修辣29F 10/21 23:39
推 joygo       : 現在軟體安全性更新就超多啊 人類就是會留下很多洞30F 10/21 23:41
推 aixiiae2005 : 很多老系統更新上去壞了誰負責XD31F 10/21 23:42
推 jen1121     : PhP用這種東西就是等人家破門32F 10/21 23:43
→ excercang   : 所以系統能不動就不動33F 10/21 23:46
推 dnzteeqrq   : 這直接用ai分析系統找漏洞最有效率 =.=34F 10/21 23:47
推 jinx55123   : 這漏洞我看網路上寫還是AI發現的 但是攻擊者想迅速A35F 10/21 23:48
→ jinx55123   : I 所以名副其實的AI攻防 比誰的AI更強
→ excercang   : 這件事算是完美的AI訓練AI37F 10/21 23:49
→ lovehan     : 寫程式的、放病毒的，終究還是人……38F 10/21 23:50
→ reallurker  : 通通改成PTT電子布告欄模式!!!39F 10/22 00:00
→ DSGG978     : 用慣AI後，誰還想回去當原始人40F 10/22 00:04
推 Solyo       : 自己刷自己需求，AI就喜歡搞閉環41F 10/22 00:07
→ Hina        : 維基剛剛好像掛了42F 10/22 00:10
推 wahaha5678  : 難怪一堆安控股動了43F 10/22 00:13
推 Toge        : 這老古董真的還一堆人在用……44F 10/22 00:14
推 kcg123      : 以後AI也分階級,天才AI 平民AI 傻子AI45F 10/22 00:14
推 TaiwanUp    : 安卓46F 10/22 00:16
推 chinaeatshit: 港任的store好像爆了47F 10/22 00:19
推 offstage    : 開發人員繼續愛用EOS的套件阿..嘻嘻48F 10/22 00:19
→ offstage    : 還在用PHP 8.2以下版本的，莎優哪拉
→ excercang   : AI也不是人人玩的起，算力太貴了50F 10/22 00:19
推 heavenlyken : 明天緊急買入資安股51F 10/22 00:26
推 YHOTV4096   : 樓上，我有同感，每次都這樣，但買不到因為一字鎖。52F 10/22 00:26
推 shter       : 買 PHP 外包開發公司吧，修補生意應該接不完53F 10/22 00:29
→ shter       : 大家會先因為他們用PHP代客開發服務而恐慌拋售
→ shter       : 接著發現很多PHP線上服務都要趕時間找有經驗的修
→ shter       : 至少要升級版本...然後才發現生意接不完
推 zizc06719   : 挖賽，修這要一萬行57F 10/22 00:34
推 okderla     : 整個AI行情走到這裡，大家突然發現最需要的卻沒有漲58F 10/22 00:43
→ okderla     : 的其實是資安股
→ htiio       : 修完80%起碼一個月以上60F 10/22 00:45
→ htiio       : 一堆古老外包的用php開發方便
→ htiio       : 還有很多個人wordpress自己都不會修的
推 a51907      : 這個很嚴重，現在各大軟體場都開P0 incident挖工程63F 10/22 00:46
→ a51907      : 師起床修
→ a51907      : 我們快瘋掉
推 liner1989   : AI在運算這部分真的跟至尊魔戒一樣，解人類幾百年解66F 10/22 00:48
→ liner1989   : 不出來的數學問題就是隨手破解，這種數位漏洞跟笑話
→ liner1989   : 一樣，隨便發現也可能隨便攻破
→ GodBoneQ    : 難怪有些網站突然維修69F 10/22 00:54
推 WWIII       : 搞到可以直接接管伺服器也太離譜70F 10/22 01:03
推 good10740   : PHP AI給6752 2471 621471F 10/22 01:03
→ WWIII       : 直接把wordpress這個老垃圾丟進垃圾桶吧72F 10/22 01:03
推 how0802     : 所以jptt都連不上是嗎73F 10/22 01:10
推 noomlluf72  : 早該換了74F 10/22 01:17
推 h0103661    : 台灣沒多少網站用這老古董當然沒人在意75F 10/22 01:26
推 jieen0604   : 破壞比建造容易多了76F 10/22 01:30
推 tf010714    : 所以最近幾天日本新聞報他們一堆大企業資料被盜77F 10/22 01:37
→ tf010714    : 連負責防災警報Jアラート的公司都被盜 真的很狂
→ tf010714    : 他們說俄國駭客集團用自製AI工具24小時在攻擊
推 totomo168   : 明天資安股要飛了80F 10/22 02:24
推 love9115566 : 美光賺這麼大罷工幹嘛81F 10/22 03:08
→ yesonline   : Cloudflare 在漏洞正式公開前約9小時，就已開發、部82F 10/22 03:12
→ yesonline   : 署、自動啟用防禦 php2shell 的WAF規則。免費或付費
→ yesonline   : 方案的用戶都能使用。但 Cloudflare 強調，WAF 無法
→ yesonline   : 完全取代伺服器本機底層安全修補，管理員必須盡快更
→ yesonline   : 新 PHP。
推 myyalga     : Ai就很好用，在分析方面，只要限制他不出幻覺，可以87F 10/22 04:12
→ myyalga     : 節省太多時間了！
推 cms6384     : 網安股 噴噴噴噴噴89F 10/22 05:18
推 PTTCEO      : 蛤 真的假的現在還有多達七成網站用PHP？90F 10/22 06:50
推 zaza1128    : Ai攻擊，Ai防禦91F 10/22 07:07
噓 person0530  : 會不會開始要用發電報來通訊了92F 10/22 07:22
推 xboxandone  : 需要更多的AI  天網互相攻擊的年代來臨93F 10/22 07:58
→ Arashi0731  : 巴哈我記得也是php94F 10/22 07:59
推 CaTkinGG    : 難怪crwd跌了那麼久忽然噴95F 10/22 08:07
推 jen1121     : PHP整個生態圈充斥著速成態度，今天被AI當沙包打趴96F 10/22 08:08
→ jen1121     : 到地板上磨，我一點也不感到意外。
推 v7q4        : 叫AI修一下就好了98F 10/22 08:15
推 loking      : 存在20年的老網站，應該很多用php99F 10/22 08:21
推 iamaq18c    : PHP到現在還是很多阿 不意外100F 10/22 08:35
→ excercang   : 現在修好的都只是急救，並不是真的補強101F 10/22 08:57
→ excercang   : 從根本上，必須捨棄這東西才能解
推 xboxandone  : 剛看新聞 阿部寬官網也炸了 看來真的很慘103F 10/22 09:14
推 john721107  : 日本重災區104F 10/22 09:42
推 arickal     : 那些資安股的pe快要飛到火星了105F 10/22 09:43
→ albertk1kil : 什麼是PHP啊不是很懂106F 10/22 09:54
→ albertk1kil : https://i.ibb.co/Q7tc2v05/1.jpg
→ albertk1kil : 剛剛查了一下，臉書跟維基百科都是PHP
[圖]
推 zxcvb71     : 太多網站用php了，php不能倒109F 10/22 10:08
→ bndan       : PHP 佔比非常高 == 而且新舊都有 這東西好處是快速110F 10/22 10:32
→ bndan       : 成站 壞處是所有防御體系的東西都沒有 要自己堆或找
→ bndan       : 來湊 重點是這東西沒大靠山 出事了只能摸摸鼻子認命
推 l14567p     : 資安股已經噴很久了 稍微回檔又繼續噴113F 10/22 10:38

--
※ 看板: Stock　文章推薦值: 0 目前人氣: 0 累積人氣: 82　
作者 blackpudding 的最新發文:
點此顯示更多發文記錄
分享網址: 複製 已複製
→
guest
x)推文 r)回覆 e)編輯 d)刪除 M)收藏 ^x)轉錄 同主題: =)首篇 [)上篇 ])下篇