全球多達七成網站使用的PHP出事了！重大漏洞恐讓駭客接管伺服器

摘要

鉅亨網編譯《華爾街日報》：AI 協助找出 PHP 十多年來最嚴重的 PHP2Shell 漏洞，修補涉及近 200 個檔案、逾 1 萬行程式碼；PHP 基金會資安工程師 Volker Dusch 將風險比擬 2014 年 Heartbleed。

重點

• 漏洞涉及 PHP 管理記憶體的一系列缺陷，攻擊途徑不只一種；未修補伺服器可能被控制、資料被竊，甚至透過遭入侵網站攻擊訪客。
• Volker Dusch 稱這是 PHP 十多年來最嚴重的安全問題，並比擬 Heartbleed（當年迫使全球管理員緊急修補數十萬台伺服器）。
• Calif 研究員 Ryan Austin 今年 8 月在 OpenAI 模型 GPT-5.6 Sol 協助下發現這些漏洞；Calif 執行長 Thai Duong 於 8/11 致電 Dusch 示警。Google 旗下 Wiz 與 OpenAI 研究團隊其後也獨立提出發現。
• Thai Duong 表示這類缺陷已藏在原始碼多年，數十年前就有人指出相關風險，當時被認為太難利用。
• 修補規模：近 200 個檔案、開發人員撰寫超過 1 萬行程式碼。原定 10/22 發布，周二 Hacker News 出現相關貼文後提前，周二先通知、周三更新。
• Wiz 共同創辦人 Ami Luttwak 形容這是迄今透過 AI 發現最嚴重的漏洞。Thai Duong 警告有人可能取得修補後交由 AI 分析並公開攻擊腳本。
• 部分網站管理員已預防性關閉網站。七成是 PHP 的網站使用占比，實際風險仍取決於版本、環境與修補情況。

值得引用

這是 PHP 十多年來最嚴重的安全問題。（Volker Dusch 將其比擬 Heartbleed）—— 鉅亨網編譯《華爾街日報》