OpenAI于21日表示，其AI模型协助研究人员发现，网站开发编程语言PHP存在2项重大安全漏洞。 全球多地网站包含荷兰、比利时政府及英国媒体BBC等机构，均紧急采取网站下架等预防性措施，日本首相高市早苗也发文示警。 PHP官方则于同日晚间发布修补漏洞的更新版本，并呼吁各网站管理员尽快完成更新。 台湾尚未有网站遭攻击数发部资安署22日对此回应，第一时间已通知各政府机关及企业尽速修补更新，截至22日上午为止，尚未收到有台湾网站受害灾情。 资安署提醒，若无法完成更新，应先将网站预防性下架，降低遭受攻击风险；网站完成更新后，也应持续查看系统日志及异常访问纪录，若发现可疑活动，应进一步确认相关帐号与凭证的安全性。 PHP是什么？

超文本预处理器PHP（Hypertext Preprocessor），是一种开源的服务器端脚本语言，主要用于建置动态网站、内容管理系统以及实现网站运作自动化等。 当用户在浏览器输入网址并按下Enter后，PHP会在远程服务器上运行运算，并将组合好的页面内容传回至浏览器。 根据网络技术追踪机构W3Techs统计，在全球能辨识使用何种编程语言架设的网站中，有近7成均使用PHP，其中包含约4成网站使用的架站软件WordPress，以及Drupal、Joomla与Magento等主要内容管理系统，均以PHP为底层架构。 此波资安漏洞可能造成什么问题？

此次被发现的2项漏洞，编号分别为CVE-2026-109618与CVE-2026-109619，统称「PHP2Shell」。 其中CVE-2026-109618涉及PHP内存不足时的处理机制，可能造成内部数据尚未完整初始化就被错误使用；CVE-2026-109619则与内存释放后残留的全域状态有关。 根据路透报导，这2项资安漏洞的严重程度，在业界通用评分标准CVSS v4.0中高达9.2分（满分10分），属于重大资安威胁。 攻击者无须通过身分验证，即可通过网络远程运行任意代码，换句话说，攻击者不需要帐号或密码，就能在有漏洞的服务器上运行指令。

欧盟资安应变小组CERT-EU表示，PHP一旦出现漏洞，数百万台服务器就可能同时面临相同的攻击风险，攻击者甚至可能因此掌控整个网站。 网页托管服务商GoDaddy表示，这可能导致数据遭窃、网页遭窜改或整个网站瘫痪。 此外该报导也提及，许多小型网站通常由无专职资安人员的业者或个人经营，且经常使用共享主机服务，无法直接管理服务器，也可能不清楚是谁负责更新PHP。 完成更新后就安全了吗？ PHP团队表示，更新代码是目前唯一能彻底修补漏洞的方法，不过此举只能降低遭攻击的风险，仍无法保证服务器不会遭攻击者入侵。 网络基础设施公司Cloudflare首席技术官Dane Knecht则表示，已观察到初步攻击，正持续更新缓解措施。

PHP团队也提及，无论是防御者或攻击者，如今都能利用工具比以往更快找出程序漏洞，预计相关通报将持续增加，但目前PHP资安维护仍仰赖少数由基金会资助的开发人员及志工，相关工具也还无法自行判断如何修正引擎中长期存在的设计问题、权衡修补对兼容性的影响，或是审查修补代码等，能处理上述问题的专业人才仍不足。