PHP爆安全漏洞｜錄得駭客數百萬次攻擊 專家提醒慎防假更新訊息
發佈時間：03:30 2026-10-23 HKT
PHP爆安全漏洞｜錄得駭客數百萬次攻擊 專家提醒慎防假更新訊息
廣泛用於全球政府部門、銀行、網店及企業網站的程式語言PHP，被揭發兩項統稱「php2shell」的嚴重保安漏洞，引發全球緊急修補行動。Cloudflare行政總裁普林斯（Matthew Prince）表示，漏洞消息公開後，利用漏洞的攻擊嘗試迅速增至數百萬次。資安業界提醒，真正需要更新PHP的是網站營運者，市民應提防騙徒借事件發出假更新通知，誘使點擊釣魚連結。
公開後45分鐘內已有數萬次攻擊
普林斯在社交平台X表示，漏洞消息公開前10小時，Cloudflare已監測到數千次利用漏洞的嘗試；公開後45分鐘升至數萬次，兩小時內達數十萬次，發文時已增至數百萬次。這些數字反映攻擊嘗試，並不等同相同數量的網站已被成功入侵。
兩項漏洞編號為CVE-2026-109618及CVE-2026-109619，嚴重程度評分均達9.2分。PHP官方指出，漏洞可能讓未經身分驗證的攻擊者遠端執行程式碼，已推出修補版本，呼籲用戶立即更新。
AI加快攻防 漏洞資料提早外洩添風險
今次事件亦凸顯人工智能對網絡攻防的影響。AI可協助研究人員尋找隱藏漏洞，同樣可能加快攻擊者分析修補程式及開發攻擊工具的速度。
OpenAI此前表示，研究人員利用AI協助發現相關漏洞，並與PHP維護團隊及保安業界合作準備修復，強調同類能力亦可能被攻擊者利用。
慎防假冒官方催更新 先查證再登入
趨勢科技旗下TrendLife提醒，目前尚無公開資料顯示詐騙集團已藉今次事件行騙，但市民仍須提防假更新通知及釣魚連結。
騙徒可能假借網站發生保安事故，透過短訊或電郵催促用戶「立即更新」「重新登入」或「驗證帳戶」。收到這類訊息，應先透過官方網站或客服查證，切勿因語氣急迫便貿然點擊。
四項防護建議 留意帳戶安全
TrendLife提出四項防護建議。首先，若常用網站正式確認受影響，應按官方指引處理帳戶安全及更改密碼，透過官方應用程式或自行儲存的書籤登入。
其次，遇到要求緊急更新或重新驗證帳戶的訊息，先從官方渠道確認。第三，保持手機、電腦、應用程式及防毒軟件更新。第四，可利用可信的防詐工具或安全軟件，協助查證可疑訊息及網址。
業界強調，PHP是網站伺服器端使用的技術，一般訪客毋須因瀏覽網站而自行安裝PHP修補程式。任何要求透過陌生連結「修補PHP漏洞」的通知，都應先查清來源。
