AI揪出PHP2Shell漏洞！PHP被駭 企業該怎麼辦？

(中央社財經訊息服務20261027 18:38:46)「網站程式明明沒有問題，為什麼駭客還能入侵？」這次PHP2Shell資安事件，正好打破許多企業對網站安全的認知：即使WordPress、Drupal等網站系統已經更新，底層的PHP執行環境仍可能存在重大漏洞。

2026年10月21日，PHP官方釋出兩項重大漏洞修補，編號為CVE-2026-109618與CVE-2026-109619，風險評分均達9.2分。研究人員透過AI輔助分析，證實特定受影響環境可能遭到無須登入的遠端程式執行攻擊，甚至讓伺服器記憶體中的敏感資料外洩。

漏洞不在網站，而在網站背後的PHP

可以把網站想像成一家商店：WordPress等網站程式是店面，PHP則像是支撐整間店運作的基礎設備。這次出問題的不是商店大門的鎖，而是底層設備本身。即使網站程式寫得正確，只要使用了受影響的PHP版本，在符合特定攻擊條件時，仍可能遭到利用。你可以把它想成，你家附近那個年代陳舊的鐵捲門，曾經被其他支符合同頻遙控器控制，直接就把它打開的概念。

研究團隊已在WordPress、Drupal、Joomla的測試環境中證實攻擊可行，影響並不限於這3套網站系統。其中兩項漏洞涉及PHP處理記憶體時的異常情況，可能讓攻擊者執行未經授權的程式，或讀取記憶體中的密碼、登入憑證及API金鑰等敏感資訊。

這代表網站沒有異常畫面、不需要登入，也不一定代表沒有安全風險。

AI找到漏洞，也加快了資安攻防！

這起事件另一個值得關注的地方，是AI在漏洞研究中扮演的角色。 PHP Foundation表示，相關記憶體問題早在2024年已有初步發現，但當時尚未確認具體的遠端攻擊方式。後續多組研究人員結合AI工具、程式分析與人工驗證，進一步確認漏洞的實際影響，並協助完成修補測試。

對企業而言，這透露出一項重要變化：過去需要專家花費大量時間研究的複雜漏洞，現在可能透過AI加快分析與驗證速度。同樣的技術既能協助防禦者提前找出問題，也可能降低攻擊者研究漏洞的門檻。企業不能再假設「漏洞太難利用，暫時不處理也沒關係」。

企業現在該做什麼？先完成3件事。

第一，盤點網站與PHP版本。 確認官方網站、購物平台、會員系統及其他對外服務是否使用受影響的 PHP。別忘了測試網站、舊活動網站，以及管理介面背後的執行環境。

第二，更新PHP，並確認修補真正生效。 PHP官方已提供8.2.35、8.3.36、8.4.27、8.5.12等修補版本。使用更舊版本的企業，則需確認主機供應商是否提供相應安全修補，或安排升級與搬遷。

完成更新後，也要重新啟動相關PHP服務，確認正式網站實際使用的是修補後版本。

第三，檢查異常紀錄，建立持續防護。 除了修補漏洞，還應留意異常的網站請求、伺服器錯誤及PHP執行程序重啟等跡象，必要時進一步調查是否曾遭入侵。

Cloudmax匯智提醒，企業可透過EASM掌握對外暴露的資訊資產，利用M-WAF（SmartShield & CF-Shield）協助防範網站攻擊，並搭配MDR進行持續監控與事件應變，但無論採用何種防護服務，WAF或監控措施都不能完全取代PHP本身的安全更新。

PHP2Shell帶來的警訊，不只是一次重大漏洞事件，而是 AI 時代的資安管理必須從單純維護網站程式，延伸到整個主機與系統執行環境。

網站今天能正常運作，只能證明服務還在運行；能不能持續安全運作，才是企業真正需要關心的問題。

關於 Cloudmax 匯智 Cloudmax 匯智長期提供企業雲端主機、網站維運與資訊安全相關服務，並提供 EASM、M-WAF（SmartShield & CF-Shield）、MDR等資安解決方案，協助企業掌握系統風險、強化網站防護及建立持續監控機制。

參考資料： - [PHP2Shell 研究專題]https://www.php2shell.com/ - [PHP 官方安全公告（2026/10/21）]https://www.php.net/archive/2026.php#2026-10-21-5 - [PHP Foundation：PHP 安全更新與研究合作]https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ - [Wiz Research：PHP2Shell 技術研究]https://www.wiz.io/blog/php2shell-php-rce

圖片來源：Cloudmax 匯智／AI生成