PHP2Shell 是什麼？研究人員借助 AI 揭露潛藏十多年的 PHP 漏洞。本文解析 CVE-2026-109618、CVE-2026-109619 的研究脈絡、RCE 風險、修補版本與網站防護重點。
2026 年 10 月的 PHP2Shell 事件，讓這個問題有了新的迫切性。iThome 在〈研究人員借助 AI 力量找出存在超過 10 年的資安漏洞 PHP2Shell〉中指出，研究團隊運用 AI 協助分析與驗證，揭露 PHP 核心長期存在的安全弱點。值得關注的是：當分析和實驗的成本下降，過去難以證明危害的老問題，也可能成為必須立即處理的風險。來源：iThome
資料整理：2026 年 10 月 24 日；以下區分原始研究、官方公告與本文觀點。
圖一｜長期存在的程式碼，仍可能藏有尚未充分驗證的風險。AI 生成情境示意，非事件現場照片。
AI 如何協助發現 PHP2Shell？反覆驗證是關鍵
Wiz 的原始研究說明，這批弱點可追溯至 PHP 5.4 時期；研究使用 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol，協助理解問題、發展驗證方式與檢查修補。困難在於：記憶體配置、PHP 版本及應用行為的差異，都會影響驗證能否成功。研究人員需要反覆測試與除錯，而 AI 降低了這些工作的成本。來源：Wiz Research
這也說明了「AI 找到漏洞」背後真正值得理解的工作。從發現可疑行為，到證明它能造成安全影響，中間還有很長的距離。程式崩潰可能是起點，研究人員仍須排除偶然因素，確認觸發條件，並檢驗修補是否處理了根本原因。
本文的判讀是：AI 的價值，在於讓研究人員有能力追查更多假設、完成更多輪實驗。研究成果仍必須接受可重現的測試與人工審查；模型提出一個看似合理的說法，還不等於漏洞已被證實。
圖二｜分析、實驗與驗證形成反覆修正的研究流程；圖中結構為概念示意，並非漏洞利用步驟。
「潛藏十多年」，還需要補上一段歷史
把 PHP2Shell 理解成「AI 突然看見人類十多年來完全沒發現的問題」，會漏掉重要脈絡。
PHP Foundation 說明，2024 年外部安全稽核後的修正工作，已讓開發者注意到其中 OOM 問題的徵兆；當時雖提出可能的利用構想，卻沒有找到具體攻擊途徑。修補又涉及相容性、效能及擴充套件的取捨，工作因此反覆延宕。基金會坦承，決策流程與資源不足造成了結構性失敗。來源：PHP Foundation
這段歷史讓 AI 的角色更清楚：它協助縮短「知道可能有問題」與「證明問題能造成危害」之間的距離。但研究能力提升之後，修補決策、工程人力與跨組織協調仍需要跟上。
對仰賴開源軟體的企業而言，這也是一個治理問題。採用成熟元件，可以省下大量開發成本；持續維護這些共同基礎的資源，卻不能只由少數維護者承擔。
PHP2Shell 是什麼？PHP 核心漏洞為何影響網站安全？
PHP2Shell 的兩個主要編號為 CVE-2026-109618 與 CVE-2026-109619。依 PHP 官方公告，前者涉及記憶體不足時，部分初始化的資料在清理階段被誤用；後者涉及請求結束、記憶體釋放後，仍殘留可被後續請求使用的內部狀態。來源：PHP 官方安全公告
問題位於 PHP 執行環境，網站應用本身寫得再謹慎，也需要確認底層是否受影響。實際利用條件會因部署方式與程式行為而異，不能把使用 PHP 的所有網站一律當成已遭入侵。
臺灣資通安全署也提醒，盤點範圍應涵蓋 WordPress、Drupal、Joomla、Magento，以及內部採用 PHP 的第三方軟體與管理介面；更新後仍應檢視系統日誌與異常存取。來源：資通安全署
攻擊嘗試增加，不等於每次都成功
AWS 表示，其 MadPot 蜜罐最早在 10 月 17 日觀察到利用嘗試，早於 10 月 21 日的公開揭露；但對那些嘗試能否在真實環境成功，AWS 當時仍保留不確定性。來源：AWS Threat Intelligence
SecurityWeek 在 10 月 23 日的後續報導，整理了 Mirai 相關攻擊嘗試與利用研究的進展，也指出截至該報導時，尚未確認野外成功入侵案例。這項觀察有明確的時間與資料範圍，不能拿來保證所有系統都安全。來源：SecurityWeek
閱讀事件新聞時，應分清楚研究環境中的成功驗證、網路上的攻擊嘗試，以及已確認的受害事件。三者各自支持不同的結論；網站為修補而預防性下線，也不等於已被駭客攻陷。
圖三｜底層修補、服務驗證與持續監測需要一起完成；外圍防護是額外的一層。AI 生成情境示意。
PHP2Shell 修補版本與網站防護清單
針對兩個主要 CVE，PHP 在 10 月 21 日發布的首批修補版本為 8.2.35、8.3.36、8.4.27、8.5.12。管理者應依各分支與供應商公告更新，並重啟相關服務及長時間運作的 PHP worker，確認實際處理請求的環境已載入修補。使用發行版或長期支援套件時，也應核對供應商的回補證據。來源：PHP 官方公告
另須注意後續更新：PHP 於 10 月 23 日公布與 session upload progress 相關的 CVE-2026-115560 資訊。其條件涉及少見的序列化設定與執行期切換組合，不能解讀成前兩項修補全面失效；官方建議暫時停用 session upload progress，並說明未在執行期更換序列化處理器的應用可保留此功能。實際處置仍應依最新公告與自身環境判斷。來源：PHP 後續資訊公告
企業可以從三件事開始：
- 找出真正的維護責任人。 確認網站、容器、管理設備及委外服務，分別由誰管理 PHP。
- 要求可查核的修補結果。 包含套件來源、更新紀錄、服務重啟與功能驗證，而非只收到「已處理」的回覆。
- 保留修補前後的異常紀錄。 若已有入侵跡象，應進入調查程序；升級不會自動清除可能存在的後門。
AI 時代，老系統需要重新接受檢驗
PHP2Shell 提醒我們，評估漏洞時，「過去很難利用」的判斷需要隨工具能力更新。當 AI 讓複雜分析與反覆驗證更容易進行，防守方也有機會重新檢查那些多年未能處理的風險。
對企業而言，值得投入的是一套能把研究成果轉成實際改善的流程：有人盤點依賴、有人判讀證據、有人完成修補，也有人驗證服務恢復後的狀態。
AI 能加快找到問題的速度。組織能否接住這些發現，將決定老問題最後成為修補成果，還是下一次事件的起點。
參考資料
- iThome：研究人員借助 AI 力量找出存在超過 10 年的資安漏洞 PHP2Shell，2026-10-22。
- Wiz：PHP2Shell 原始研究與揭露時間線，2026-10-21。
- PHP Foundation：安全更新與漏洞處理歷程，2026-10-21。
- PHP：主要漏洞安全更新及後續公告，2026-10-21、2026-10-23。
- 資通安全署：PHP 緊急安全更新，2026-10-22。
- AWS：公開揭露前的 PHP2Shell 利用嘗試，2026-10-21。
- SecurityWeek：Mirai 相關嘗試與利用研究後續，2026-10-23。
