一個寫咗好多年、用喺大量網站背後嘅 PHP，昨日一次過公布兩項嚴重安全漏洞修補。問題可以令未登入的遠端攻擊者在受影響伺服器執行程式碼，歐洲及其他地區有政府網站為咗搶修而暫時關閉；美國 CISA 亦要求機構盡快更新。今次值得留意之處，係漏洞由研究人員借助 AI 工具協助發現，而修補推出後，攻擊者亦可能加快研究點樣利用未更新系統。
PHP 開發團隊在 10 月 21 日發布多個維護版本，修正 CVE-2026-109618 及 CVE-2026-109619。官方把它們列為可導致未經認證遠端程式碼執行的嚴重漏洞，並明確提醒受影響版本用戶立即更新。CISA 同日發出警告，指出這些漏洞風險高，組織應盡快套用修補。
漏洞在伺服器端，唔代表每個訪客都要即時做設定
PHP 主要在網站伺服器上執行，訪客通常唔會知道網站背後用緊邊個版本。若伺服器仍跑受影響而未修補的 PHP，攻擊者可能透過網絡請求觸發問題，進一步執行伺服器權限範圍內的程式。這類風險主要由網站管理員、主機服務商及 IT 團隊處理，一般讀者無法單靠改手機或電腦設定解決。
漏洞的嚴重程度亦唔只係理論推演。網絡情報公司的公開掃描估算顯示，約 260 萬個可識別主機之中，有約 150 萬個仍回報使用尚未有修補版本的 PHP。Amazon 安全團隊則表示，早於 10 月 17 日已在誘捕系統偵測到一次疑似利用漏洞的嘗試；公司其後亦觀察到更多嘗試，但當時未能確認是否成功入侵真實網站。
更新已推出，舊版或自行託管網站要聯絡主機商
PHP 官方已提供多個維護分支的修正版，並表示沒有完整替代方案，更新才是安全做法。由於不同網站使用的 PHP 分支、作業系統及主機控制台各有不同，管理員應先按官方公告確認適用版本，再由主機商或內部 IT 團隊安排更新，並檢查服務更新後是否正常。唔建議一般用家自行照網上指令改動不熟悉的伺服器。
如果你只係使用 WordPress.com 託管網站，PHP 版本一般由平台管理，唔等於每位站長都要登入伺服器手動升級；如有疑問，應查看 WordPress.com 官方狀態及支援公告。自行租用主機、使用 WordPress.org 或管理其他 PHP 網站的人，就要向主機供應商確認修補狀態。WordPress 本身係內容管理系統，呢次漏洞位於 PHP 執行環境，兩者唔應混為一談。
AI 在今次事件中協助研究人員找出舊有程式碼問題，展示了工具可以幫防守方提升檢查能力；但一旦技術細節公開，攻擊者同樣可以加快分析。因此「漏洞已修補」唔代表所有網站都已經安全，關鍵仍然係各服務有無及時更新。對網站營運者來說，今次提醒很直接：清楚知道主機由誰管理，並確認安全更新責任落在哪一方。
資料來源
- PHP 官方網站：PHP 8.4.27 等安全更新公告
- 美國 CISA：Critical Vulnerabilities in PHP Require Immediate Patching
- Reuters：PHP developers issue updates to fix vulnerabilities
- Reuters：Government websites go dark after AI-discovered flaw sparks security scramble
- AP：Some websites go dark as operators address an AI-detected flaw in a web programming language
