AI揪出藏逾10年重大資安漏洞！全球網站緊急下線 維基、日企受波及
PHP急釋修補程式 資安機構籲無法更新先停站
【李子凡／綜合報導】AI協助找出網路底層軟體藏了逾10年的重大漏洞，掀起全球資安警報！多國政府、企業及公共機構緊急將部分網站下線，搶修廣泛用於網站開發的PHP程式語言。研究人員警告，攻擊者在特定條件下，可能利用漏洞控制伺服器、竊取密碼等敏感資料。
這兩項漏洞合稱「PHP2Shell」，由資安業者Calif、Wiz及OpenAI相關研究團隊協助發現。PHP廣泛用於WordPress、Drupal及維基百科所使用的MediaWiki等系統，因此影響範圍引發關注。不過，網站使用PHP，不代表已遭入侵，實際風險仍須依版本及部署情況判斷。
根據報導，維基百科營運機構維基媒體基金會，已預防性關閉部分系統；日本全日空、西日本旅客鐵道及三菱日聯金融集團，也通報部分網頁或服務暫停。歐洲多國政府網站、英國地方政府及醫療機構，同樣採取暫時下線措施，爭取更新時間。
這波服務中斷，許多是業者為防止攻擊而主動採取的措施，不能一概視為網站已被駭客攻陷。
AI縮短攻擊者開發工具時間
PHP開發團隊已於21日釋出安全更新。英國國家網路安全中心呼籲，相關機構立即更新；若無法及時修補或採取有效防護，應考慮暫時關閉受影響網站，並檢查是否已有攻擊者植入後門。
這次事件引發震撼，不只是因為PHP使用廣泛，更在於AI大幅縮短了研究人員將複雜漏洞轉化為可行攻擊的時間。
Wiz表示，部分問題已在PHP程式碼中存在超過10年，過去要證明能被利用，需要極其複雜的步驟。如今透過先進AI模型與適當工具，一名研究員約一周內，就能完成以往頂尖團隊可能得花數月處理的工作。
研究團隊將此事形容為資安領域的「AI轉折點」：AI能協助防守方找出長年被忽略的弱點，也可能讓攻擊者更快開發攻擊工具，壓縮網站業者修補的時間。
對一般使用者而言，這次漏洞位於網站後端，主要修補責任在網站與伺服器管理者。經營網站的小型企業，則應向代管業者或開發人員確認，PHP本身是否已完成安全更新；只更新WordPress或外掛，不能取代PHP的修補。
民眾也應留意受影響服務的官方通知，依指示處理帳號安全問題，並提防假借「資安更新」或「重設密碼」名義發送的釣魚訊息。
點擊閱讀下一則新聞
