AI 協助找出漏洞，並不代表資安工作就此完成。PHP2Shell 是 PHP 核心中的兩項重大漏洞，PHP 於 2026 年 10 月 21 日推出緊急修補。OpenAI 的說法顯示，這場事件不只是一次 AI 輔助發現，而是維護者、研究人員與資安業者耗時兩個月協調修補、準備防護措施的過程。18

對廣泛使用的軟體來說，發現缺陷只是起點；接下來還得確認問題、準備修正，並讓受影響的系統營運者能夠部署更新。

漏洞是什麼？AI 扮演了什麼角色？

這兩項漏洞的編號為 CVE-2026-109618 與 CVE-2026-109619，CVSS 嚴重度評分皆為 9.2。研究人員展示，攻擊者可能在未經身分驗證的情況下，對 WordPress、Drupal 和 Joomla 網站觸發遠端程式碼執行（RCE），也可能讀取記憶體內容。34 報導指出，受影響的 PHP 版本範圍從 PHP 5.4 延伸至 PHP 8.5。1

問題出在 PHP 的記憶體處理機制。一項涉及記憶體耗盡時的處理流程；另一項則與請求之間殘留的狀態及釋放後仍被使用的記憶體有關。39 換句話說，漏洞位於網站底層使用的 PHP 執行環境，而不是只限於某個網站應用程式本身。34

OpenAI 表示，Calif 透過其 Patch the Planet 計畫，使用 GPT-5.6 Sol 找出一項重大漏洞；Wiz 則獨立發現並通報了兩項漏洞。18 Wiz 的說明及其他報導也提到，其研究工具包括 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol。433 不過，現有資料並未清楚區分各模型具體負責的工作，因此無法確定哪個模型參與了攻擊測試或修補驗證。

一份引述 PHP Foundation 資訊的次級時間線列出：Calif 於 8 月 11 日、Wiz 於 8 月 24 日、OpenAI 於 9 月 18 日向 PHP 通報。6 這些是報告所列的通報日期，不一定等同各團隊最初發現漏洞的日期。

為何修補需要跨團隊協作？

OpenAI 表示，相關工作歷時兩個月，集結維護者、研究人員與資安業者，在公開漏洞資訊前準備修補及防護措施。18 PHP 維護團隊主導修正和版本發布；研究與資安合作夥伴則提供研究、技術支援及協調。18

原定 10 月 22 日發布的修補，提前一天於 10 月 21 日推出。14 報導指出，時程調整與資訊外洩、修補版容器映像檔提早上架有關。PHP Foundation 指稱 Chainguard 違反了資訊保密期（embargo）；這是基金會提出的指控，現有報導並未提供獨立裁定的結論。63538

這也呈現協調式漏洞揭露的兩難：暫時保密，可以讓維護者和軟體供應方先備妥更新；但若攻擊已經開始，等待也可能增加使用者的風險。報導將 OpenAI 提出的應對方式描述為分階段流程：先確認問題並建立修補，再讓軟體供應方預作準備、與政府合作夥伴協調，之後擴大通知並公開指引。若出現攻擊或資訊外洩，時程可能需要提前。3741

有攻擊嘗試的紀錄，但不等於已證實入侵

Amazon 表示，其 MadPot 系統在 10 月 17 日偵測到一次試圖利用 PHP2Shell 的攻擊，距離公開揭露還有四天。報導也提到，修補發布後出現更多攻擊嘗試。5 偵測到攻擊嘗試，並不等同於確認攻擊者成功控制伺服器；目前報導也未說明攻擊者如何提前得知漏洞，或提供經查證的受害伺服器數量。

Palo Alto Networks 據報指出，超過 2,260 萬個對外連線的網路服務可能受到 PHP2Shell 影響。53「可能受影響」是曝露面估算，不代表這些系統都已確認可被利用，更不代表都已遭入侵。

美國主管機關呼籲組織儘速處理漏洞；一則報導指出，若無法及時確保系統安全，機關建議先將系統下線。56 Cloudflare 則表示，已在公開揭露前，為使用其網頁應用程式防火牆（WAF）的客戶部署防護規則。12 這些措施可以補充修補工作，但仍不能取代檢查並更新受影響的 PHP 安裝版本。

報導列出的修補版本為 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12。8 系統管理者應確認實際使用的 PHP 發行來源與版本；不同供應商提供的套件版本編號可能有所不同。8

發現能力提升，也要同步提升修補能力

OpenAI 另表示，已承諾提供價值 10 億美元的 Daybreak 補助使用額度，協助防禦者取得相關工具，並優先支持資安資源有限、負責保護關鍵服務的組織。25 這處理了問題的一部分：讓防禦者有更多工具可用。PHP2Shell 則凸顯另一個同樣重要的環節——整個軟體生態系能否準備、傳達並部署修補。

AI 輔助研究或許能協助發現漏洞，但對於發現了什麼、哪些工具實際參與，以及攻擊是否成功，仍須審慎核對並清楚歸因。PHP2Shell 帶來的務實提醒是：漏洞被提早發現，確實能為防禦者爭取時間；但只有維護者、供應商與系統管理者都能把握這段時間，將修補交付並安裝到位，這個窗口才真正有用。

AI 協助找出漏洞，並不代表資安工作就此完成。PHP2Shell 是 PHP 核心中的兩項重大漏洞，PHP 於 2026 年 10 月 21 日推出緊急修補。OpenAI 的說法顯示，這場事件不只是一次 AI 輔助發現，而是維護者、研究人員與資安業者耗時兩個月協調修補、準備防護措施的過程。18

對廣泛使用的軟體來說，發現缺陷只是起點；接下來還得確認問題、準備修正，並讓受影響的系統營運者能夠部署更新。

漏洞是什麼？AI 扮演了什麼角色？

這兩項漏洞的編號為 CVE-2026-109618 與 CVE-2026-109619，CVSS 嚴重度評分皆為 9.2。研究人員展示，攻擊者可能在未經身分驗證的情況下，對 WordPress、Drupal 和 Joomla 網站觸發遠端程式碼執行（RCE），也可能讀取記憶體內容。34 報導指出，受影響的 PHP 版本範圍從 PHP 5.4 延伸至 PHP 8.5。1

問題出在 PHP 的記憶體處理機制。一項涉及記憶體耗盡時的處理流程；另一項則與請求之間殘留的狀態及釋放後仍被使用的記憶體有關。39 換句話說，漏洞位於網站底層使用的 PHP 執行環境，而不是只限於某個網站應用程式本身。34

OpenAI 表示，Calif 透過其 Patch the Planet 計畫，使用 GPT-5.6 Sol 找出一項重大漏洞；Wiz 則獨立發現並通報了兩項漏洞。18 Wiz 的說明及其他報導也提到，其研究工具包括 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol。433 不過，現有資料並未清楚區分各模型具體負責的工作，因此無法確定哪個模型參與了攻擊測試或修補驗證。

一份引述 PHP Foundation 資訊的次級時間線列出：Calif 於 8 月 11 日、Wiz 於 8 月 24 日、OpenAI 於 9 月 18 日向 PHP 通報。6 這些是報告所列的通報日期，不一定等同各團隊最初發現漏洞的日期。

為何修補需要跨團隊協作？

OpenAI 表示，相關工作歷時兩個月，集結維護者、研究人員與資安業者，在公開漏洞資訊前準備修補及防護措施。18 PHP 維護團隊主導修正和版本發布；研究與資安合作夥伴則提供研究、技術支援及協調。18

原定 10 月 22 日發布的修補，提前一天於 10 月 21 日推出。14 報導指出，時程調整與資訊外洩、修補版容器映像檔提早上架有關。PHP Foundation 指稱 Chainguard 違反了資訊保密期（embargo）；這是基金會提出的指控，現有報導並未提供獨立裁定的結論。63538

這也呈現協調式漏洞揭露的兩難：暫時保密，可以讓維護者和軟體供應方先備妥更新；但若攻擊已經開始，等待也可能增加使用者的風險。報導將 OpenAI 提出的應對方式描述為分階段流程：先確認問題並建立修補，再讓軟體供應方預作準備、與政府合作夥伴協調，之後擴大通知並公開指引。若出現攻擊或資訊外洩，時程可能需要提前。3741

有攻擊嘗試的紀錄，但不等於已證實入侵

Amazon 表示，其 MadPot 系統在 10 月 17 日偵測到一次試圖利用 PHP2Shell 的攻擊，距離公開揭露還有四天。報導也提到，修補發布後出現更多攻擊嘗試。5 偵測到攻擊嘗試，並不等同於確認攻擊者成功控制伺服器；目前報導也未說明攻擊者如何提前得知漏洞，或提供經查證的受害伺服器數量。

Palo Alto Networks 據報指出，超過 2,260 萬個對外連線的網路服務可能受到 PHP2Shell 影響。53「可能受影響」是曝露面估算，不代表這些系統都已確認可被利用，更不代表都已遭入侵。

美國主管機關呼籲組織儘速處理漏洞；一則報導指出，若無法及時確保系統安全，機關建議先將系統下線。56 Cloudflare 則表示，已在公開揭露前，為使用其網頁應用程式防火牆（WAF）的客戶部署防護規則。12 這些措施可以補充修補工作，但仍不能取代檢查並更新受影響的 PHP 安裝版本。

報導列出的修補版本為 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12。8 系統管理者應確認實際使用的 PHP 發行來源與版本；不同供應商提供的套件版本編號可能有所不同。8

發現能力提升，也要同步提升修補能力

OpenAI 另表示，已承諾提供價值 10 億美元的 Daybreak 補助使用額度，協助防禦者取得相關工具，並優先支持資安資源有限、負責保護關鍵服務的組織。25 這處理了問題的一部分：讓防禦者有更多工具可用。PHP2Shell 則凸顯另一個同樣重要的環節——整個軟體生態系能否準備、傳達並部署修補。

AI 輔助研究或許能協助發現漏洞，但對於發現了什麼、哪些工具實際參與，以及攻擊是否成功，仍須審慎核對並清楚歸因。PHP2Shell 帶來的務實提醒是：漏洞被提早發現，確實能為防禦者爭取時間；但只有維護者、供應商與系統管理者都能把握這段時間，將修補交付並安裝到位，這個窗口才真正有用。