PHP2Shell 是觀察 AI 如何影響資安的一個案例：AI 協助研究人員找出 PHP 的兩項重大漏洞，而後續的漏洞揭露與遭利用通報，也凸顯防守方可能必須更快採取行動。發現漏洞只是資安工作的一環；組織還得確認受影響的系統、協調處理，並把修補更新確實部署到位。16321

PHP2Shell 發生了什麼事？

PHP2Shell 是兩項 PHP 漏洞的統稱，編號為 CVE-2026-109618 與 CVE-2026-109619。加拿大網路安全中心將它們描述為「釋放後使用」（use-after-free）漏洞；若遭成功利用，未經身分驗證的攻擊者可能在受影響系統上執行任意程式碼。相關報導與安全公告給兩項漏洞的嚴重性評分為 9.2。214

PHP 廣泛使用，使這起事件格外受關注。報導引用的估算指出，約七成網站使用 PHP；但這不等於七成網站都已確認有漏洞。實際暴露風險，取決於網站是否使用受影響且尚未修補的 PHP 安裝版本。CISA 指出，提供網頁請求服務的 PHP 安裝都受到影響。32441

這些漏洞是在 AI 輔助研究過程中被發現的。Calif 說明了其漏洞研究工作；其他報導則指出，Calif 研究人員透過 OpenAI 的 GPT-5.6 Sol，參與「Patch the Planet」計畫進行研究。Wiz 也表示曾獨立發現漏洞。1634

PHP 已於 2026 年 10 月 21 日發布修補程式。列出的修正版本包括 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12。美國國家安全局（NSA）建議組織安裝修補程式；之後，美國網路安全暨基礎設施安全局（CISA）將兩項 CVE 列入「已知遭利用漏洞」（KEV）目錄，並呼籲立即更新。3171

這起事件如何呈現 AI 與資安的關係？

AI 有助於找出不易察覺的漏洞

PHP2Shell 顯示，AI 輔助分析可以協助研究人員在廣泛使用的軟體中發現漏洞。這次研究聚焦於 PHP 本身，而不只是個別網站或以 PHP 建置的應用程式。1632

這是防守上的助力，但 AI 本身並不能修復漏洞。漏洞仍須經過驗證、負責任地揭露、由維護者發布修補程式，最後再部署到暴露風險的系統上。PHP 發布修正版本，以及主管機關發布緊急建議，都是應變過程中不可或缺的環節。3171

發現得更快，也讓修補與協調更吃緊

漏洞公開後，維護者與使用者必須確認哪些系統受到影響、安排處理責任，並部署更新。CISA 呼籲儘速修補，之後又將漏洞列入 KEV 目錄，說明應變速度的重要性。該公告支持「漏洞已遭實際利用」的判斷，但不能證明 AI 導致了攻擊，也沒有說明有多少系統遭到入侵。1

這項區分很重要：AI 輔助研究或許能縮短找到漏洞所需的時間，但有效防禦仍仰賴日常作業——掌握 PHP 部署在哪裡、指派負責人，以及安裝正確的更新。關於 PHP 揭露流程的報導，也反映出廣泛使用的開源專案在處理重大漏洞時，可能面臨協調上的挑戰。46

嚴重性分數不等於實際受害範圍

9.2 的評分代表漏洞嚴重，但不表示所有 PHP 網站都能被利用，也不代表所有有漏洞的網站都遭到攻擊。CISA 的公告針對的是提供網頁請求服務的 PHP 安裝；個別組織面臨的實際風險，仍取決於所用版本、設定方式與修補狀態。141

解讀遭利用的報導時，也要留意發布時間與監測範圍。CISA 後續更新 KEV 目錄，是漏洞遭利用的證據；較早期的資安公司聲明，則說明該公司當時在自家監測資料中觀察到或未觀察到的情況。由於監測範圍和通報時間不同，這些說法不一定互相矛盾。12325

網站營運者可以採取哪些行動？

• 依照部署環境安裝對應的 PHP 更新。 列出的修補版本為 8.2.35、8.3.36、8.4.27 與 8.5.12；請參照官方版本資訊或供應商指引，確認適合的更新方式。3
• 優先檢查提供網頁請求服務的 PHP 系統。 CISA 特別呼籲組織立即修補受影響的安裝環境。1
• 把其他安全措施視為補強，而非漏洞修補的替代品。 多因素驗證與使用不重複的密碼，有助於保護帳號；但它們無法修復可能導致未經驗證程式碼執行的伺服器端漏洞。

重點結論

PHP2Shell 顯示，AI 輔助研究能協助揭露嚴重的軟體漏洞，也可能讓防守方承受更大的即時應變壓力。但這起事件並不能證明，AI 找到更多漏洞就必然會帶來更多成功攻擊。要做出更廣泛的判斷，還需要觀察實際遭入侵情況、修補速度與防禦成效，而不能只看漏洞數量。

PHP2Shell 是觀察 AI 如何影響資安的一個案例：AI 協助研究人員找出 PHP 的兩項重大漏洞，而後續的漏洞揭露與遭利用通報，也凸顯防守方可能必須更快採取行動。發現漏洞只是資安工作的一環；組織還得確認受影響的系統、協調處理，並把修補更新確實部署到位。16321

PHP2Shell 發生了什麼事？

PHP2Shell 是兩項 PHP 漏洞的統稱，編號為 CVE-2026-109618 與 CVE-2026-109619。加拿大網路安全中心將它們描述為「釋放後使用」（use-after-free）漏洞；若遭成功利用，未經身分驗證的攻擊者可能在受影響系統上執行任意程式碼。相關報導與安全公告給兩項漏洞的嚴重性評分為 9.2。214

PHP 廣泛使用，使這起事件格外受關注。報導引用的估算指出，約七成網站使用 PHP；但這不等於七成網站都已確認有漏洞。實際暴露風險，取決於網站是否使用受影響且尚未修補的 PHP 安裝版本。CISA 指出，提供網頁請求服務的 PHP 安裝都受到影響。32441

這些漏洞是在 AI 輔助研究過程中被發現的。Calif 說明了其漏洞研究工作；其他報導則指出，Calif 研究人員透過 OpenAI 的 GPT-5.6 Sol，參與「Patch the Planet」計畫進行研究。Wiz 也表示曾獨立發現漏洞。1634

PHP 已於 2026 年 10 月 21 日發布修補程式。列出的修正版本包括 PHP 8.2.35、8.3.36、8.4.27 與 8.5.12。美國國家安全局（NSA）建議組織安裝修補程式；之後，美國網路安全暨基礎設施安全局（CISA）將兩項 CVE 列入「已知遭利用漏洞」（KEV）目錄，並呼籲立即更新。3171

這起事件如何呈現 AI 與資安的關係？

AI 有助於找出不易察覺的漏洞

PHP2Shell 顯示，AI 輔助分析可以協助研究人員在廣泛使用的軟體中發現漏洞。這次研究聚焦於 PHP 本身，而不只是個別網站或以 PHP 建置的應用程式。1632

這是防守上的助力，但 AI 本身並不能修復漏洞。漏洞仍須經過驗證、負責任地揭露、由維護者發布修補程式，最後再部署到暴露風險的系統上。PHP 發布修正版本，以及主管機關發布緊急建議，都是應變過程中不可或缺的環節。3171

發現得更快，也讓修補與協調更吃緊

漏洞公開後，維護者與使用者必須確認哪些系統受到影響、安排處理責任，並部署更新。CISA 呼籲儘速修補，之後又將漏洞列入 KEV 目錄，說明應變速度的重要性。該公告支持「漏洞已遭實際利用」的判斷，但不能證明 AI 導致了攻擊，也沒有說明有多少系統遭到入侵。1

這項區分很重要：AI 輔助研究或許能縮短找到漏洞所需的時間，但有效防禦仍仰賴日常作業——掌握 PHP 部署在哪裡、指派負責人，以及安裝正確的更新。關於 PHP 揭露流程的報導，也反映出廣泛使用的開源專案在處理重大漏洞時，可能面臨協調上的挑戰。46

嚴重性分數不等於實際受害範圍

9.2 的評分代表漏洞嚴重，但不表示所有 PHP 網站都能被利用，也不代表所有有漏洞的網站都遭到攻擊。CISA 的公告針對的是提供網頁請求服務的 PHP 安裝；個別組織面臨的實際風險，仍取決於所用版本、設定方式與修補狀態。141

解讀遭利用的報導時，也要留意發布時間與監測範圍。CISA 後續更新 KEV 目錄，是漏洞遭利用的證據；較早期的資安公司聲明，則說明該公司當時在自家監測資料中觀察到或未觀察到的情況。由於監測範圍和通報時間不同，這些說法不一定互相矛盾。12325

網站營運者可以採取哪些行動？

• 依照部署環境安裝對應的 PHP 更新。 列出的修補版本為 8.2.35、8.3.36、8.4.27 與 8.5.12；請參照官方版本資訊或供應商指引，確認適合的更新方式。3
• 優先檢查提供網頁請求服務的 PHP 系統。 CISA 特別呼籲組織立即修補受影響的安裝環境。1
• 把其他安全措施視為補強，而非漏洞修補的替代品。 多因素驗證與使用不重複的密碼，有助於保護帳號；但它們無法修復可能導致未經驗證程式碼執行的伺服器端漏洞。

重點結論

PHP2Shell 顯示，AI 輔助研究能協助揭露嚴重的軟體漏洞，也可能讓防守方承受更大的即時應變壓力。但這起事件並不能證明，AI 找到更多漏洞就必然會帶來更多成功攻擊。要做出更廣泛的判斷，還需要觀察實際遭入侵情況、修補速度與防禦成效，而不能只看漏洞數量。