PHP爆安全漏洞｜录得骇客数百万次攻击 专家提醒慎防假更新讯息
发布时间：03:30 2026-10-23 HKT
PHP爆安全漏洞｜录得骇客数百万次攻击 专家提醒慎防假更新讯息
广泛用于全球政府部门、银行、网店及企业网站的程式语言PHP，被揭发两项统称「php2shell」的严重保安漏洞，引发全球紧急修补行动。Cloudflare行政总裁普林斯（Matthew Prince）表示，漏洞消息公开后，利用漏洞的攻击尝试迅速增至数百万次。资安业界提醒，真正需要更新PHP的是网站营运者，市民应提防骗徒借事件发出假更新通知，诱使点击钓鱼连结。
公开后45分钟内已有数万次攻击
普林斯在社交平台X表示，漏洞消息公开前10小时，Cloudflare已监测到数千次利用漏洞的尝试；公开后45分钟升至数万次，两小时内达数十万次，发文时已增至数百万次。这些数字反映攻击尝试，并不等同相同数量的网站已被成功入侵。
两项漏洞编号为CVE-2026-109618及CVE-2026-109619，严重程度评分均达9.2分。PHP官方指出，漏洞可能让未经身分验证的攻击者远端执行程式码，已推出修补版本，呼吁用户立即更新。
AI加快攻防 漏洞资料提早外泄添风险
今次事件亦凸显人工智能对网络攻防的影响。AI可协助研究人员寻找隐藏漏洞，同样可能加快攻击者分析修补程式及开发攻击工具的速度。
OpenAI此前表示，研究人员利用AI协助发现相关漏洞，并与PHP维护团队及保安业界合作准备修复，强调同类能力亦可能被攻击者利用。
慎防假冒官方催更新 先查证再登入
趋势科技旗下TrendLife提醒，目前尚无公开资料显示诈骗集团已藉今次事件行骗，但市民仍须提防假更新通知及钓鱼连结。
骗徒可能假借网站发生保安事故，透过短讯或电邮催促用户「立即更新」「重新登入」或「验证帐户」。收到这类讯息，应先透过官方网站或客服查证，切勿因语气急迫便贸然点击。
四项防护建议 留意帐户安全
TrendLife提出四项防护建议。首先，若常用网站正式确认受影响，应按官方指引处理帐户安全及更改密码，透过官方应用程式或自行储存的书签登入。
其次，遇到要求紧急更新或重新验证帐户的讯息，先从官方渠道确认。第三，保持手机、电脑、应用程式及防毒软件更新。第四，可利用可信的防诈工具或安全软件，协助查证可疑讯息及网址。
业界强调，PHP是网站伺服器端使用的技术，一般访客毋须因浏览网站而自行安装PHP修补程式。任何要求透过陌生连结「修补PHP漏洞」的通知，都应先查清来源。
