PHP基金會近日披露CVE-2026-109618與CVE-2026-109619兩項「重大」漏洞，通稱「php2shell」。未修補的PHP系統可遭攻擊者遠端執行程式碼，並被利用為進入內部網路的跳板；Palo Alto Networks初步辨識出約2,260萬個可能受影響的實例。由於PHP廣泛承載全球網站、內容管理系統與網路服務，研究單位估計實際暴露面可能涵蓋約七成網路。
補丁雖已發布，部分荷蘭、芬蘭政府機構基於風險暫時將網站下架，美國FBI、美國國家安全局、歐盟電腦緊急應變團隊及日本政府亦發布緊急更新提醒。Cloudflare並已偵測到早期攻擊，另有新創企業指控原始碼、Cookie資料與法務文件遭竊，顯示威脅已由理論風險進入實機利用階段。
這起事件表面上是軟體修補競速，核心矛盾卻是AI帶來的攻防不對稱擴大。漏洞程式碼存在已逾14年，2024年也曾發現受限版本，但當時未被認定為重大風險；如今GPT-5.6 Sol、Gemini 4 Argon與Wiz Atlas等工具能理解複雜程式碼、串接多段弱點並產出可運作 exploit，使過去需要資安專家投入大量時間的攻擊鏈，開始接近自動化和规模化。
攻防雙方使用同一類AI能力，卻存在顯著時序差。攻擊者能在熱門開源專案遭仔細檢視多年後迅速找出深層問題，防禦者卻仍須盤點資產、套用補丁、重啟服務並驗證供應鏈。只要遠端程式碼執行能穿透對外網站、雲端憑證與內部系統，邊界設備就可能從單一網站失效，升級為企業資料外洩或國家級供應鏈事件。
php2shell與Log4Shell等事件相比，特別之處在於漏洞已潛伏十餘年，卻因AI推理與自動化攻擊能力而迅速升級。這類工具若由受監督的研究聯盟主導，可提高基礎設施韌性；若流入攻擊者手中，開源元件將成為供應鏈中的集中風險節點。
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
