PHP2Shell 是兩項 PHP 嚴重漏洞的合稱，編號為 CVE-2026-109618 與 CVE-2026-109619。2026 年 10 月，這項安全揭露促使各地網站營運者迅速修補，部分機構也先暫停服務以降低風險。PHP 據報約支援七成網站，因此漏洞引起廣泛關注；不過，這個比例不是已確認受漏洞影響的網站數，也不能用來推算成功入侵的案例數。4922

PHP2Shell 可能造成什麼風險？

漏洞位於 PHP 本身，而非某個特定網站或內容管理系統。新加坡網路安全局指出，其中一項是記憶體不足處理漏洞，另一項則是釋放後使用（use-after-free）漏洞；兩者都可能讓未經驗證的遠端攻擊者在受影響系統執行程式碼。4

白話來說，攻擊者可能不必先登入，就能讓有漏洞的伺服器執行指令。研究人員將漏洞嚴重性評為 10 分中的 9.2 分。49

PHP 在網站中相當普遍，代表潛在影響範圍可能很大；但實際風險仍取決於各系統採用的 PHP 版本與設定。不能把「約七成網站使用 PHP」直接解讀成「七成網站都存在漏洞」。4914

AI 輔助研究後，PHP 緊急推出修補版本

公開報導指出，資安公司 Calif 在 8 月進行程式碼稽核時，使用 OpenAI 的 GPT-5.6 Sol 找到一項漏洞；這項稽核由 OpenAI 的 Patch the Planet 計畫資助。Wiz Research 也表示，其研究使用了 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol。1925

這些資料支持「AI 協助漏洞研究」的說法，但不足以證明 AI 自行完成了整個發現、驗證流程。研究人員仍參與了分析與確認。

PHP 專案於 10 月 21 日發布修補版本。SecurityWeek 報導，漏洞識別碼在前一天已開始流傳，因此修補程式比原訂公開時程提早一天發布。受報導的修補版本為 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12。62

為什麼有網站選擇暫停服務？

部分機構在檢查或修補系統期間，選擇先讓服務下線。BBC 報導，事件影響政府入口網站、遊戲平台與線上論壇；芬蘭政府網站或頁面、愛丁堡市議會頁面、BBC 部分頁面，以及荷蘭網路安全機構的網站，也曾被暫時下線。49

這些下線措施反映出事件帶來的營運影響，但本身並不能證明相關網站已遭入侵。BBC 另報導，美國國家安全局建議無法立即修補的機構，先將 PHP 系統下線。49

攻擊嘗試不等於成功入侵

Nextgov 引述 Cloudflare 執行長 Matthew Prince 的說法：漏洞公開前的數小時內，Cloudflare 網路已偵測到數千次攻擊嘗試；公開後兩小時內增至數十萬次，之後累計達數百萬次。22這些數字描述的是嘗試利用漏洞的流量，不是經查證的成功入侵數量。

目前的報導無法確認可靠的受害總數。估算暴露規模、自動化請求、蜜罐偵測紀錄與已確認遭入侵的案例，衡量的是不同情況，不應合併成單一的「受害數字」。

「黑色十月」代表什麼？

「黑色十月」是媒體與觀察者用來形容 2026 年 10 月一連串資安揭露與事件的稱呼。PHP2Shell 是其中受到高度關注的一項，但現有報導並未證實這些事件屬於同一場協同發動的全球攻擊。11114

目前有證據支持的結論是：PHP 出現嚴重安全警訊，各地急於修補，也有機構採取預防性停機。至於 PHP 約七成的使用率，不能當成已確認暴露比例；攻擊嘗試數量也不能當作大規模入侵的證明。

對系統管理者而言，重點是確認伺服器實際使用的 PHP 執行環境，並安裝對應版本的修補程式。報導列出的修補版本涵蓋 PHP 8.2 至 8.5；只更新網站或 CMS，不代表底層 PHP 執行環境也已更新。1462

PHP2Shell 是兩項 PHP 嚴重漏洞的合稱，編號為 CVE-2026-109618 與 CVE-2026-109619。2026 年 10 月，這項安全揭露促使各地網站營運者迅速修補，部分機構也先暫停服務以降低風險。PHP 據報約支援七成網站，因此漏洞引起廣泛關注；不過，這個比例不是已確認受漏洞影響的網站數，也不能用來推算成功入侵的案例數。4922

PHP2Shell 可能造成什麼風險？

漏洞位於 PHP 本身，而非某個特定網站或內容管理系統。新加坡網路安全局指出，其中一項是記憶體不足處理漏洞，另一項則是釋放後使用（use-after-free）漏洞；兩者都可能讓未經驗證的遠端攻擊者在受影響系統執行程式碼。4

白話來說，攻擊者可能不必先登入，就能讓有漏洞的伺服器執行指令。研究人員將漏洞嚴重性評為 10 分中的 9.2 分。49

PHP 在網站中相當普遍，代表潛在影響範圍可能很大；但實際風險仍取決於各系統採用的 PHP 版本與設定。不能把「約七成網站使用 PHP」直接解讀成「七成網站都存在漏洞」。4914

AI 輔助研究後，PHP 緊急推出修補版本

公開報導指出，資安公司 Calif 在 8 月進行程式碼稽核時，使用 OpenAI 的 GPT-5.6 Sol 找到一項漏洞；這項稽核由 OpenAI 的 Patch the Planet 計畫資助。Wiz Research 也表示，其研究使用了 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol。1925

這些資料支持「AI 協助漏洞研究」的說法，但不足以證明 AI 自行完成了整個發現、驗證流程。研究人員仍參與了分析與確認。

PHP 專案於 10 月 21 日發布修補版本。SecurityWeek 報導，漏洞識別碼在前一天已開始流傳，因此修補程式比原訂公開時程提早一天發布。受報導的修補版本為 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12。62

為什麼有網站選擇暫停服務？

部分機構在檢查或修補系統期間，選擇先讓服務下線。BBC 報導，事件影響政府入口網站、遊戲平台與線上論壇；芬蘭政府網站或頁面、愛丁堡市議會頁面、BBC 部分頁面，以及荷蘭網路安全機構的網站，也曾被暫時下線。49

這些下線措施反映出事件帶來的營運影響，但本身並不能證明相關網站已遭入侵。BBC 另報導，美國國家安全局建議無法立即修補的機構，先將 PHP 系統下線。49

攻擊嘗試不等於成功入侵

Nextgov 引述 Cloudflare 執行長 Matthew Prince 的說法：漏洞公開前的數小時內，Cloudflare 網路已偵測到數千次攻擊嘗試；公開後兩小時內增至數十萬次，之後累計達數百萬次。22這些數字描述的是嘗試利用漏洞的流量，不是經查證的成功入侵數量。

目前的報導無法確認可靠的受害總數。估算暴露規模、自動化請求、蜜罐偵測紀錄與已確認遭入侵的案例，衡量的是不同情況，不應合併成單一的「受害數字」。

「黑色十月」代表什麼？

「黑色十月」是媒體與觀察者用來形容 2026 年 10 月一連串資安揭露與事件的稱呼。PHP2Shell 是其中受到高度關注的一項，但現有報導並未證實這些事件屬於同一場協同發動的全球攻擊。11114

目前有證據支持的結論是：PHP 出現嚴重安全警訊，各地急於修補，也有機構採取預防性停機。至於 PHP 約七成的使用率，不能當成已確認暴露比例；攻擊嘗試數量也不能當作大規模入侵的證明。

對系統管理者而言，重點是確認伺服器實際使用的 PHP 執行環境，並安裝對應版本的修補程式。報導列出的修補版本涵蓋 PHP 8.2 至 8.5；只更新網站或 CMS，不代表底層 PHP 執行環境也已更新。1462