安全研究機構The Hacker News 2026年10月21日披露，PHP2Shell存在兩個嚴重漏洞，CVSS評分均達9.2，允許未經驗證的遠端攻擊者執行任意程式碼。PHP驅動全球75%的網站，受影響範圍包括政府入口、銀行系統與醫療平台。緊急修補程式已發布。
1. 漏洞技術細節
兩個漏洞均允許遠端程式碼執行（RCE），無需驗證即可觸發。第一個漏洞位於PHP2Shell的檔案上傳處理模組，允許上傳可執行的惡意網頁殼層；第二個漏洞為指令注入缺陷，可繞過沙箱機制直接存取伺服器根目錄。
2. AI自動化工具加速武器化
安全研究人員記錄到，AI輔助漏洞掃描工具在補丁發布後三小時內已開始大規模自動掃描受影響系統。此前類似嚴重性漏洞的武器化周期通常為一至三周，AI自動化使這一時間壓縮至數小時。
3. 普通用戶的實際風險
受攻擊的伺服器可洩露用戶憑證、金融資料與醫療記錄。歐洲數個政府市政入口網站在緊急補丁部署期間暫時下線。建議立即更新至PHP 8.3.13或8.2.25，或對PHP2Shell相關功能實施臨時存取控制封鎖。
75%的網站即是75%的用戶資料；AI加速的漏洞武器化讓打補丁窗口從數周縮短至數小時。
精華 FAQ
Q1：CVSS 9.2代表什麼危險等級？
CVSS 9.2屬最高「關鍵」等級，允許未經驗證的遠端攻擊者從網際網路上任何位置執行任意程式碼，無需任何憑證或事先存取權限。
Q2：AI工具如何加速了這次漏洞的武器化速度？
補丁發布三小時內，AI輔助掃描工具已大規模自動探測受影響系統。傳統類似嚴重性漏洞的武器化週期為1至3周，AI自動化將這一窗口壓縮至數小時。
Q3：普通用戶應如何保護自己？
應要求所使用的PHP基礎網站服務商確認已升級至PHP 8.3.13或8.2.25；留意異常登入通知，並更換近期使用的重要服務密碼。
留言