PHP資安漏洞影響全球7成網站 可能造成風險、原因一次看

全球近7成網站使用的開發程式語言PHP，21日遭揭露存在2項重大安全漏洞，導致多國網站緊急預防性下架，PHP官方也釋出新版本呼籲用戶盡速更新。PHP是什麼？資安漏洞可能造成什麼問題？台灣網站目前有災情嗎？

OpenAI於21日表示，其AI模型協助研究人員發現，網站開發程式語言PHP存在2項重大安全漏洞。全球多地網站包含荷蘭、比利時政府及英國媒體BBC等機構，均緊急採取網站下架等預防性措施，日本首相高市早苗也發文示警。PHP官方則於同日晚間發布修補漏洞的更新版本，並呼籲各網站管理員盡快完成更新。

台灣尚未有網站遭攻擊

數發部資安署22日對此回應，第一時間已通知各政府機關及企業儘速修補更新，截至22日上午為止，尚未收到有台灣網站受害災情。

資安署提醒，若無法完成更新，應先將網站預防性下架，降低遭受攻擊風險；網站完成更新後，也應持續檢視系統日誌及異常存取紀錄，若發現可疑活動，應進一步確認相關帳號與憑證的安全性。

PHP是什麼？

超文字預處理器PHP（Hypertext Preprocessor），是一種開源的伺服器端腳本語言，主要用於建置動態網站、內容管理系統以及實現網站運作自動化等。當使用者在瀏覽器輸入網址並按下Enter後，PHP會在遠端伺服器上執行運算，並將組合好的頁面內容傳回至瀏覽器。

根據網路技術追蹤機構W3Techs統計，在全球能辨識使用何種程式語言架設的網站中，有近7成均使用PHP，其中包含約4成網站使用的架站軟體WordPress，以及Drupal、Joomla與Magento等主要內容管理系統，均以PHP為底層架構。

此波資安漏洞可能造成什麼問題？

此次被發現的2項漏洞，編號分別為CVE-2026-109618與CVE-2026-109619，統稱「PHP2Shell」。其中CVE-2026-109618涉及PHP記憶體不足時的處理機制，可能造成內部資料尚未完整初始化就被錯誤使用；CVE-2026-109619則與記憶體釋放後殘留的全域狀態有關。

根據路透報導，這2項資安漏洞的嚴重程度，在業界通用評分標準CVSS v4.0中高達9.2分（滿分10分），屬於重大資安威脅。攻擊者無須通過身分驗證，即可透過網路遠端執行任意程式碼，換句話說，攻擊者不需要帳號或密碼，就能在有漏洞的伺服器上執行指令。

歐盟資安應變小組CERT-EU表示，PHP一旦出現漏洞，數百萬台伺服器就可能同時面臨相同的攻擊風險，攻擊者甚至可能因此掌控整個網站。網頁託管服務商GoDaddy表示，這可能導致資料遭竊、網頁遭竄改或整個網站癱瘓。

此外該報導也提及，許多小型網站通常由無專職資安人員的業者或個人經營，且經常使用共享主機服務，無法直接管理伺服器，也可能不清楚是誰負責更新PHP。

完成更新後就安全了嗎？

PHP團隊表示，更新程式碼是目前唯一能徹底修補漏洞的方法，不過此舉只能降低遭攻擊的風險，仍無法保證伺服器不會遭攻擊者入侵。

網路基礎設施公司Cloudflare技術長Dane Knecht則表示，已觀察到初步攻擊，正持續更新緩解措施。

PHP團隊也提及，無論是防禦者或攻擊者，如今都能利用工具比以往更快找出程式漏洞，預計相關通報將持續增加，但目前PHP資安維護仍仰賴少數由基金會資助的開發人員及志工，相關工具也還無法自行判斷如何修正引擎中長期存在的設計問題、權衡修補對相容性的影響，或是審查修補程式碼等，能處理上述問題的專業人才仍不足。