熱門後端程式語言 黑客可在未經授權下掌控服務器 PHP爆嚴重安全漏洞 全球七成網站受威脅

香港文匯報訊 全球約70%網站採用的後端程式語言PHP，於10月21日爆出被安全人員稱為「PHP2Shell」的兩項重大安全漏洞，編號分別為CVE-2026-109618和CVE-2026-109619。這些漏洞一旦被成功利用，黑客便能在未經授權情況下掌控服務器，對企業與個人網站構成極大信息安全威脅。漏洞被揭露後，網站營運者急忙採取保護措施，歐洲等地的政府網站一度大量離線。PHP開發團隊表示，已上線修復該兩處嚴重漏洞的更新，並強烈建議用戶立即更新。

PHP是一種廣泛用於服務器端的開源編程語言，用戶登錄網站、搜索商品、提交評論時，服務器都需處理請求、訪問數據庫並返回相應內容，PHP便承擔其中部分工作。WordPress等內容管理系統，以及大量電商平台、論壇、媒體網站和企業應用，都可能依賴PHP運行，故用戶未必了解PHP，但每天都在使用由其提供支持的服務。

OpenAI模型發現關鍵缺陷

今次發現的漏洞，在CVSS v4.0漏洞嚴重性評級中被評為9.2級（上限10級），屬嚴重級別。歐盟電腦緊急應變小組日前在諮詢報告中指出，9.2級表明存在未經身份驗證的遠端程式碼執行風險，即允許攻擊者在不登入的情況下，在受攻擊系統上運行惡意程式碼。PHP官方披露，其中一項漏洞涉及內存不足時的異常處理，程式內部數據尚未完成初始化，後續清理過程卻可能將其當作正常數據處理；另一項漏洞則可能導致服務器錯誤使用已釋放的失效內存，使攻擊者有機會讀取敏感數據。

《華爾街日報》報道，美國安全公司Calif今年較早時藉着OpenAI旗下人工智能（AI）模型GPT-5.6 Sol，發現該關鍵缺陷，並通報PHP官方。安全公司Wiz也獨立發現兩項漏洞，Google隨後也披露旗下AI模型Gemini 4 Argon曾參與漏洞發現、開發及檢測安全補丁的驗證工作。

PHP急修復 多地機構網站離線

漏洞確認後，PHP維護者與研究機構、雲服務商和安全公司花費數周進行修復，共涉及近200萬個文檔、逾1萬行代碼。安全更新原定於22日發布，但因兩個漏洞的CVE編號20日便已在網絡流傳，PHP團隊隨即提前公布安全預告，並將正式發布時間提前一天。豈料預告發布後半小時，Calif意外公布一段概念驗證（PoC）視頻，透露部分漏洞技術細節。儘管視頻隨後被刪除，但副本仍在社媒流傳，推動其他PoC加速開發並進一步擴散。21日，PHP按提前後計劃，發布PHP 8.5.12、8.4.27、8.3.36和8.2.35四個安全補丁，覆蓋仍受支持的版本分支。

據PHP基金會發布的事件復盤，其中一類內存管理風險早在2024年就已被發現，但當時核心開發人員未找到潛在的具體攻擊路徑。而由於修復方案可能影響舊程式兼容性、性能及第三方擴展，維護團隊未能及時就解決方案達成一致，修復工作因此數次停滯。PHP基金會還坦承，其核心開發團隊共13人，分布在8個國家，多數開發者為兼職，因團隊規模有限，且承擔多項維護任務，安全決策機制和資源不足共同導致此次修復延誤。

為防範潛在風險，包括法國、德國、荷蘭和比利時在內的歐洲多國政府網站，已預防性暫時關閉部分服務；美國網絡論壇Something Awful和維基百科部分服務也已下線；日本部分託兒中心系統和線上遊戲服務同樣採取預防性措施。新加坡網絡安全局警告，PHP所有版本均受影響，當地網絡安全公司WatchTowr監測發現，其誘捕服務器網絡已記錄到針對這兩項漏洞的攻擊嘗試。澳洲網絡安全中心則已發布最高級別的關鍵警報，敦促所有組織清查環境中所有PHP的執行實例。