全球大量網站使用的程式語言PHP，10月21日（星期三）發布緊急更新，修補兩個可令黑客遠端執行程式碼的「嚴重」漏洞。多國政府機構事前已將部分網站暫時下線，以待完成更新。
PHP開發者表示，8.5.12、8.4.27、8.3.36及8.2.35版本修補了編號CVE-2026-109618與CVE-2026-109619的漏洞。兩者均可讓攻擊者在毋須登入的情況下遠端執行程式碼；歐盟電腦安全事故應變小組（CERT-EU）列出的嚴重程度評分（CVSS）均為9.2（滿分10分）。
據《The Register》引述開發者說明，所有處理網頁請求的PHP安裝都可能受影響，包括PHP-FPM、Apache的mod_php、php-cgi、FrankenPHP及LiteSpeed。開發者稱以mod_php風險最高，並指已有示範攻擊，可在網站應用程式碼運行之前、以一個未經驗證的請求觸發漏洞。
美國網絡安全及基礎設施安全局（CISA）將這組漏洞稱為「php2shell」，並呼籲機構盡快安裝修補。美國國家安全局（NSA）亦發出警告，指若無法即時更新，應先將系統下線。
歐洲方面，《The Register》報道，芬蘭政府服務，以及荷蘭國會、網絡安全機構和資料保障機構的網站，已作為預防措施下線；私隱倡議組織noyb亦暫時撤下網站。《The National》則報道，荷蘭、芬蘭、法國和澳洲都曾暫時關閉部分政府服務。日本首相高市早苗（Sanae Takaichi）在社交平台X呼籲各界當晚採取行動。
OpenAI表示，旗下一個模型協助研究人員發現這個漏洞，稱這是「近年影響最大的漏洞之一」，亦標誌AI能找出具互聯網規模影響的安全漏洞。OpenAI稱，據其所知，AI比攻擊者更早發現漏洞，令防守方有時間準備。
風險是否已成真，各方說法不一。網絡安全公司watchTowr的威脅情報主管傑克·諾特（Jake Knott）稱，已觀察到針對這些漏洞的真實攻擊嘗試，但「至今無人得手」，他預期這種情況不會持續太久。
PHP是WordPress、Drupal、Joomla及Magento等網站平台，以及不少虛擬主機和控制面板的底層技術。資安公司Huntress的研究員約翰·哈蒙德（John Hammond）指出，要找出所有受影響的PHP安裝並不容易，因為很多軟件並不會標明自己用了PHP。
另一名資安研究員表示，若網站公開使用PHP而未修補，應假設已暴露於風險；如發現遭入侵跡象，亦應假設系統已被攻陷。經營網站的讀者可向網站主機商查詢是否已升級至上述修補版本。
資料來源：
