2026 年 10 月 21 日，PHP 漏洞曝光後，全球政府與組織展開緊急修補行動。PHP 是支撐當今大部分網頁的程式語言，此漏洞可能讓駭客存取資料並控制網站，促使美國國家安全局、各資安機構與軟體供應商發布緊急警告。

資安研究公司 Calif 的一位研究員於 2026 年 8 月使用 OpenAI 的先進人工智慧模型發現此漏洞，並通報管理 PHP 的非營利組織。然而，漏洞消息在 PHP 組織發布修補程式之前外洩，Amazon Web Services 官員表示，駭客已開始「大規模」嘗試利用該漏洞。

由於 PHP 是協助運行數百萬網站的關鍵軟體，此漏洞的影響遠超單一公司或平台。那麼，PHP 究竟是什麼？AI 在揭露此漏洞中扮演了什麼角色？一般使用者是否需要擔心？

PHP：網頁的基礎

PHP 是驅動大多數網站的程式語言。現代網站要提供動態內容、視覺元素與搜尋功能，網頁伺服器上必須運行程式並接收使用者輸入——無論是輸入網址，還是點擊連結與按鈕。據估計，約 70% 的網站以 PHP 運行。因此，PHP 的弱點並非單一應用程式的缺陷，而是同時影響數百萬個網站共用的一層基礎架構。

PHP 在網頁伺服器上以兩個主要部分運作：PHP 核心系統——引擎與執行時函式庫——以及個別的 PHP 腳本，即實際實作網站功能的自訂程式。當訪客與網站互動時，PHP 腳本運行、接收使用者輸入，並產生瀏覽器顯示的輸出。

漏洞本身

本次資安問題直接存在於 PHP 核心系統及其使用的函式庫中。當漏洞存在於如此深層的層級時，攻擊者便可利用底層系統。在這種情況下，攻擊者可以在託管網站的電腦上執行未經授權的命令，從而存取資料並完全控制網站。

重要的是，這並非個別網站程式碼的錯誤。由於問題出在 PHP 核心系統，每一台未修補的 PHP 伺服器都存在風險。而且，由於網站對網際網路上的任何人開放，攻擊者可輕易以自動化工具找出以 PHP 為基礎的目標，然後執行利用該漏洞的攻擊程式。結果形成管理員搶先修補攻擊者掃描未修補伺服器之間的競賽——Amazon Web Services 官員所描述的大規模攻擊嘗試已顯示出這種態勢。

此攻擊程式碼稱為 PHP2Shell，名稱源自它賦予攻擊者的「shell 存取權」——這是資安術語，指對運行網站的電腦擁有直接的命令列控制權。Shell 存取權可繞過網站介面，讓攻擊者得以輸入命令並存取網站的所有資料。

AI：一把雙面刃

此漏洞特別值得關注之處在於它的發現方式。漏洞是透過「協調揭露」程序曝光的，即資安研究員在公開之前先向 PHP 開發者通報漏洞。在本案中，8 月的私下通報與 10 月的公開揭露之間相隔約兩個月。

這件事凸顯了 AI 在資安領域的威力。數十年來，發現隱蔽的軟體缺陷需要龐大的專家團隊人工審查程式碼。如今的 AI 系統能在數小時或數天內檢視龐大的程式碼庫並辨識異常模式，分析數百萬行程式碼，找出人類稽核員在數十年軟體開發中可能遺漏的細微記憶體管理錯誤。此 PHP 漏洞已在核心程式碼中存在超過十年，而 AI 協助研究員找到了它。這個案例顯示漏洞發現的規模正在改變：一名搭配 AI 的研究員就能找出過去需要大型團隊才能發現的缺陷。

但同樣的工具也可能被攻擊者利用。協助資安研究員率先發現缺陷的推理能力，同樣能讓攻擊者快速掃描網頁尋找易受攻擊的目標，並自動化建立攻擊工具。這正說明了為何資安團隊必須運用 AI 安全且主動地尋找與通報漏洞——這也是 AI 能協助發布緩解漏洞修補程式的原因。

你需要擔心嗎？

許多政府機構、大學、醫院和企業都依賴以 PHP 為基礎的系統。雖然一般網路使用者不太可能受到直接影響，但延遲修補的組織可能暴露敏感資料、面臨營運中斷風險，或讓攻擊者取得進入更大網路的立足點。

PHP 完全運行於遠端網頁伺服器上。如果你只是一般造訪網站的網路使用者，無需下載修補程式或修理個人電腦。

不過，如果你管理網站、部落格或伺服器——即使是建立在 WordPress 等熱門內容管理系統（本身也以 PHP 運行）上的小型網站——你應立即檢查伺服器管理面板或向虛擬主機商確認，確保 PHP 軟體已更新至最新的修補版本。如果你的網站由第三方代管，請向他們確認是否已針對這些漏洞進行修補。

PHP2Shell 的發現揭示了資安領域的新現實。在互聯的世界中，維護網路基礎架構安全是一場持續的競賽。當 AI 工具成為網路防禦者與網路攻擊者的標準配備時，保持快速修補的習慣仍是最根本的防線。

本文由艾奧瓦州立大學電與計算機工程大學教授 Doug Jacobson 撰寫，依創用 CC 授權轉載自 The Conversation；請閱讀原文。本文最初刊載於 Fortune.com。