一個由 AI 找出、潛伏了十四年的致命漏洞，令全球互聯網在十月底經歷了一場罕見的緊急動員。PHP 開發團隊於 10 月 21 日緊急發佈安全性更新，修補兩個無需登入即可在伺服器上執行程式碼的重大漏洞——CVE-2026-109618 與 CVE-2026-109619，業界統稱 PHP2Shell，CVSS 危險評分高達 9.2。全球約七成網站的底層依賴 PHP，加拿大、澳洲與歐洲多國政府網站率先預防性下架，日本首相高市早苗更親自向公眾示警。
這宗事件最戲劇性之處在於「誰找到了它」：不是人類滲透測試專家，而是 AI。資安公司 Calif 在 OpenAI「Patch the Planet」計畫中，用 GPT-5.6 Sol 模型對 PHP 原始碼進行大規程式碼審計，挖出這個連人類維護者都漏看了十四年的漏洞。AI 從「寫程式」走到「找漏洞、救互聯網」，這是迄今最具標誌性的實戰案例。
什麼是 PHP2Shell？為何如此致命
PHP2Shell 指兩個存在於 PHP 語言核心的遠端程式碼執行（RCE）漏洞，影響幾乎所有現存 PHP 版本。所謂「無需認證」，即攻擊者不必任何帳號密碼，只要向目標伺服器發送特製請求，就能取得執行任意指令的權力——「PHP2Shell」這個名字，正是形容攻擊者可以直接取得伺服器 shell（命令列控制權）。
根據 PHP 官方公告，凡「以 PHP 提供網頁請求」的部署方式都受影響，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed。其中 Apache mod_php 風險最高——研究人員示範的攻擊手法，可以在網站自身程式碼開始執行之前就完成入侵，令應用層的防禦完全失效。公開報告亦指出其中一個漏洞屬 use-after-free（釋放後使用）類型記憶體錯誤，且影響範圍可追溯至 PHP 5 以降的所有版本。
全球應變：NSA 警告、政府網站關燈
原本的協調揭露時程被一場意外打亂：漏洞細節提前一日洩漏上網，PHP 團隊被迫將補丁提前發佈，網絡上更已出現公開的概念驗證（PoC）攻擊程式碼。美國國家安全局（NSA）罕見發出公開警告，呼籲所有營運者立即更新；加拿大政府多個網頁以「緊急維護」名義下架；澳洲連網絡威脅情報機構 cyber.gov.au 都一度離線；歐洲多國亦採取預防性封鎖。日本方面，首相高市早苗親自向公眾說明事件，呼籲企業與機構儘速應對。
資安廠商 Sansec 更提出驚人預測：補丁發佈後 15 分鐘內就可能出現大規模自動化攻擊。WatchTowr 與 Huntress 表示，目前尚未觀察到漏洞在野活躍利用，但「整個地下駭客經濟都在研究如何武器化它」。WordPress 用戶尤其需要留意——WordPress 核心與絕大多數外掛正是以 PHP 编寫，託管商與自架站長都屬於高風險群體。
AI 如何挖出人類漏看十四年的漏洞
這宗事件最值得深思的，是漏洞的發現方式。Calif 透過 OpenAI 的 Patch the Planet 計畫，以 GPT-5.6 Sol 對 PHP 這個全球最廣泛部署的程式語言進行系統性審計。AI 代理能夠不知疲倦地追蹤整個程式碼庫的記憶體生命週期、交叉比對數百萬行程式碼的呼叫路徑，最終定位到人類二十 年來無數次審查都漏掉的缺陷。
值得釐清的是功勞歸屬：Calif 事後公開說明，獨立研究員 @lcfr_hax 早於今年 8 月 5 日就首次發現 PHP2Shell 並寫出可用攻擊程式，他的工作說服了 PHP 基金會出資修復這一整類漏洞；AI 則在此基礎上完成了獨立驗證與全類別掃描。換言之，這是一場「人類研究員 × AI 代理」的協同作戰——但 AI 把同類漏洞的搜尋成本壓低了一個數量級，卻是不爭的事實。
站長立即行動清單
如果你的網站以 PHP 運行，現在就應該採取以下步驟：
- 立即升級至 PHP 官方 10 月 21 日緊急版本，不要等待託管商的例行更新週期
- 清點資產：許多組織的真正風險在於「不知道自己還有哪些伺服器在跑舊版 PHP」——邊緣設備、遺留系統、已被遺忘的測試環境
- 檢查 WordPress：確認主機環境的 PHP 版本，共用主機用戶應向託管商確認升級時程
- 部署 WAF 規則：在完成升級前，以暫時性防護規則攔截異常的 multipart 請求（漏洞與 PHP_SESSION_UPLOAD_PROGRESS 欄位處理有關）
- 監察日誌：留意針對表單上傳欄位的異常請求模式，這是目前已知最可能被利用的攻擊面
結論：AI 資安時代的分水嶺
PHP2Shell 事件很可能被未來的資安教科書視為分水嶺：第一次，AI 代理在如此規模的關鍵基礎設施中找出影響全球的漏洞，而整個產業的應變速度也因此被迫加速。對維運者而言，好消息是補丁已經存在；壞消息是，攻擊者同樣擁有 AI。「修得比對方快」從來沒像今天這樣字面地成立過——請立即檢查你的 PHP 版本。
