七成網站底層PHP爆十年來最嚴重漏洞　黑客可遙距奪權　多國政府網站預防性下線

摘要

香港經濟日報整理 PHP2Shell 的嚴重度、AI 發現過程與多國關站，並以「PHP 是廚房主廚」比喻寫給一般讀者的 FAQ。

兩洞統稱 PHP2Shell，CVE-2026-109618 與 CVE-2026-109619，CVSS v4.0 皆 9.2。涉及記憶體處理與內部狀態管理，未授權即可遠端執行程式碼。
W3Techs：PHP 用於 69.3% 已知伺服器端程式語言的網站。Volker Dusch 稱這是 PHP 逾 10 年來最嚴重問題，並比擬 Heartbleed。
Calif 研究員今年 8 月在 GPT-5.6 Sol 協助下率先發現；Wiz 其後獨立發現。Thai Duong 警告若有人將修補交由 AI 分析並公開攻擊腳本，情況恐迅速失控。路透引 Cloudflare 已偵測到早期攻擊。
歐洲：荷蘭 DigiD、政府個人服務平台與荷屬 NCSC 網站下線；法國地方政府與巴黎警察局網站應 ANSSI 要求無法存取；芬蘭、比利時、德國機構亦加入應對。
亞太：日本部分托兒中心系統與線上遊戲預防性暫停；首相高市早苗在 X 以「極緊急請求」呼籲確認是否使用 PHP 並盡速修補。澳洲 ACSC 發出最高級別警告；美國白宮、NSA、FBI 敦促立即處理。
修補原定 10/22，因 10/20 Hacker News 外流而提前。據報修改近 200 個檔案、逾 1 萬行程式碼。已推出 8.5.12、8.4.27、8.3.36、8.2.35。
FAQ 比喻：網頁排版與圖片是裝潢與餐牌，PHP 是廚房「主廚」，負責接收點餐、向冰箱（資料庫）取食材、把餐點送到客人面前。一般個人電腦或手機不會因此被直接入侵，但常去的未修補網站可能導致個資外洩。

若將網站比喻為一間餐廳，用戶可見的網頁排版與圖片（HTML/CSS）是裝潢與餐牌，PHP則是廚房內的「主廚」。