PHP官方10月21日發布8.5.12、8.4.27、8.3.36與8.2.35四個安全版本。修補的兩個漏洞CVSS評分9.2，可讓未經驗證的攻擊者遠端執行程式。PHP支撐全球約70%網站。漏洞由前沿AI模型協助挖出。Cloudflare稱已見到早期攻擊，芬蘭與荷蘭政府網站預防性下線。
1. 誰找到的
資安公司Calif在OpenAI的Patch the Planet計畫中，用GPT-5.6 Sol模型找到其中一個漏洞。Wiz則獨立發現並回報兩個漏洞，命名為PHP2Shell。Wiz指出，連2012年的PHP 5.4都受影響。攻擊者可讀取伺服器記憶體中的密碼、登入憑證與API金鑰。
2. 用戶能做的事
專家建議：每個網站用不同密碼並啟用多重要素驗證；手機、電腦與路由器開啟自動更新；家中物聯網裝置向廠商確認更新；收到「保護帳戶」的緊急訊息，先自行開啟官方App查證。詐騙集團常趁資安新聞行騙。
3. 修補速度定勝負
Trail of Bits執行長基多說，用戶無法自行修補醫院網站，責任在服務商。美國銀行家協會表示，各大銀行自前沿模型問世就在準備，資金仍安全。AI讓找漏洞更快，也讓守方能更早修補。
這次是美國AI先找到漏洞、先修補。對一般人，最好的防線仍是更新與多重驗證。
精華 FAQ
Q1：PHP漏洞有多嚴重？
兩個漏洞CVSS評分9.2，可讓未經驗證的攻擊者遠端執行程式，PHP支撐全球約70%網站。
Q2：一般人該怎麼保護自己？
每站不同密碼並開多重驗證、裝置開自動更新、檢查物聯網裝置更新，收到緊急訊息先開官方App查證。
Q3：AI在這次事件中扮演什麼角色？
Calif用GPT-5.6 Sol找到漏洞，Wiz也獨立發現。10月21日修補版本已發布。
留言