PHP2Shell 是兩項 PHP 嚴重漏洞的合稱，編號為 CVE-2026-109618 與 CVE-2026-109619。兩者的 CVSS 4.0 評分均為 9.2，可能導致遠端程式碼執行：攻擊者不必先登入，就有機會在受影響的 PHP 伺服器上執行程式碼。PHP 已於 2026 年 10 月 21 日發布緊急修補版。8910

這起事件也讓 AI 輔助資安研究受到關注：Calif 使用 OpenAI 的 GPT-5.6 Sol 協助找出重大漏洞，Wiz 則獨立發現並通報兩項漏洞。不過，報導提到的掃描或攻擊嘗試，並不等同於已確認伺服器遭到入侵。202934

PHP2Shell 的兩個漏洞會造成什麼影響？

問題出在 PHP 本身，而不是某個特定網站平台或外掛。CVE-2026-109618 與 PHP 處理記憶體耗盡（out-of-memory）狀況有關：當請求資料尚未完整初始化時，處理流程可能出錯。CVE-2026-109619 則涉及內部狀態在其所依賴的記憶體釋放後仍然殘留。兩項問題都可能導致遠端程式碼執行。1026

兩者的 CVSS 4.0 評分都是 9.2，屬於嚴重漏洞。風險之所以受到高度關注，是因為攻擊者可能透過網路遠端執行程式碼，而且不必先通過登入驗證。910

AI 協助研究，但攻擊並非因此就由 AI 執行

Calif 在 OpenAI 的「Patch the Planet」計畫中，使用 GPT-5.6 Sol 協助辨識其中一項重大漏洞。Wiz 則獨立發現並通報兩項漏洞；相關報導指出，Wiz 的研究也使用了 Wiz Atlas，以及 Gemini 4 Argon 和 GPT-5.6 Sol。2029

早期時間線在不同報導中略有出入：一則報導稱 Calif 於 8 月 1 日發現漏洞，另一則則稱研究人員在 8 月 11 日向 PHP 通報首項漏洞。兩種說法都提到，研究人員在公開揭露前已與維護者協調處理。2030

重點在於，AI 在這起事件中協助研究人員找出漏洞；目前引用的報導並未證明後續攻擊是由具自主行動能力的 AI 執行。

緊急修補與網站暫時下線

PHP 於 10 月 21 日發布修補版本：8.2.35、8.3.36、8.4.27 和 8.5.12。這些是 PHP 上游專案的版本號；Linux 發行版可能會把修補程式回移至舊版套件，因此套件版本號未必與上游一致。管理者應同時查看所用發行版的安全公告，不要只憑版本字串判斷是否已修補。827

漏洞消息公開後，部分網站營運者暫時關閉系統，以便評估風險。報導指出，歐洲及其他地區的一些政府網站在 10 月 21 日下線。另有說法稱，漏洞細節外流後，PHP 將原定發布時間提前了一天。212233

若組織使用 PHP，實務上的優先事項是確認對外提供服務的 PHP 執行環境已套用供應商修補，並依照託管服務商的指示完成更新、重新啟動或驗證。若伺服器由主機服務商代管，應請對方確認修補狀態，不要只根據網站表面是否正常來判斷。824

攻擊嘗試不等於成功入侵

據報導，Cloudflare 與 Patchstack 在 PHP 於 10 月 21 日發布修補前，已觀察到針對 PHP2Shell 的探測活動。後續一則資安報導提到攻擊嘗試達數百萬次；BBC 在 10 月 22 日報導，當時尚無已知的成功利用案例。這些資訊足以說明事件需要謹慎看待，但不能證明相關嘗試已造成確定的入侵。2334

因此，較準確的結論是：PHP2Shell 嚴重、很快引起攻擊者注意，也需要盡速修補；但不能把攻擊活動數量直接當成成功入侵的數量。現有引用報導沒有提供可靠數字，說明有多少網站暴露於風險之中，也沒有確認攻擊是由具自主行動能力的 AI 發動。

PHP2Shell 是兩項 PHP 嚴重漏洞的合稱，編號為 CVE-2026-109618 與 CVE-2026-109619。兩者的 CVSS 4.0 評分均為 9.2，可能導致遠端程式碼執行：攻擊者不必先登入，就有機會在受影響的 PHP 伺服器上執行程式碼。PHP 已於 2026 年 10 月 21 日發布緊急修補版。8910

這起事件也讓 AI 輔助資安研究受到關注：Calif 使用 OpenAI 的 GPT-5.6 Sol 協助找出重大漏洞，Wiz 則獨立發現並通報兩項漏洞。不過，報導提到的掃描或攻擊嘗試，並不等同於已確認伺服器遭到入侵。202934

PHP2Shell 的兩個漏洞會造成什麼影響？

問題出在 PHP 本身，而不是某個特定網站平台或外掛。CVE-2026-109618 與 PHP 處理記憶體耗盡（out-of-memory）狀況有關：當請求資料尚未完整初始化時，處理流程可能出錯。CVE-2026-109619 則涉及內部狀態在其所依賴的記憶體釋放後仍然殘留。兩項問題都可能導致遠端程式碼執行。1026

兩者的 CVSS 4.0 評分都是 9.2，屬於嚴重漏洞。風險之所以受到高度關注，是因為攻擊者可能透過網路遠端執行程式碼，而且不必先通過登入驗證。910

AI 協助研究，但攻擊並非因此就由 AI 執行

Calif 在 OpenAI 的「Patch the Planet」計畫中，使用 GPT-5.6 Sol 協助辨識其中一項重大漏洞。Wiz 則獨立發現並通報兩項漏洞；相關報導指出，Wiz 的研究也使用了 Wiz Atlas，以及 Gemini 4 Argon 和 GPT-5.6 Sol。2029

早期時間線在不同報導中略有出入：一則報導稱 Calif 於 8 月 1 日發現漏洞，另一則則稱研究人員在 8 月 11 日向 PHP 通報首項漏洞。兩種說法都提到，研究人員在公開揭露前已與維護者協調處理。2030

重點在於，AI 在這起事件中協助研究人員找出漏洞；目前引用的報導並未證明後續攻擊是由具自主行動能力的 AI 執行。

緊急修補與網站暫時下線

PHP 於 10 月 21 日發布修補版本：8.2.35、8.3.36、8.4.27 和 8.5.12。這些是 PHP 上游專案的版本號；Linux 發行版可能會把修補程式回移至舊版套件，因此套件版本號未必與上游一致。管理者應同時查看所用發行版的安全公告，不要只憑版本字串判斷是否已修補。827

漏洞消息公開後，部分網站營運者暫時關閉系統，以便評估風險。報導指出，歐洲及其他地區的一些政府網站在 10 月 21 日下線。另有說法稱，漏洞細節外流後，PHP 將原定發布時間提前了一天。212233

若組織使用 PHP，實務上的優先事項是確認對外提供服務的 PHP 執行環境已套用供應商修補，並依照託管服務商的指示完成更新、重新啟動或驗證。若伺服器由主機服務商代管，應請對方確認修補狀態，不要只根據網站表面是否正常來判斷。824

攻擊嘗試不等於成功入侵

據報導，Cloudflare 與 Patchstack 在 PHP 於 10 月 21 日發布修補前，已觀察到針對 PHP2Shell 的探測活動。後續一則資安報導提到攻擊嘗試達數百萬次；BBC 在 10 月 22 日報導，當時尚無已知的成功利用案例。這些資訊足以說明事件需要謹慎看待，但不能證明相關嘗試已造成確定的入侵。2334

因此，較準確的結論是：PHP2Shell 嚴重、很快引起攻擊者注意，也需要盡速修補；但不能把攻擊活動數量直接當成成功入侵的數量。現有引用報導沒有提供可靠數字，說明有多少網站暴露於風險之中，也沒有確認攻擊是由具自主行動能力的 AI 發動。