全球 7 成网站用的 PHP 出了大漏洞：AI 时代，比的是谁先处理完

10 月 22 日早上，在曼谷郊区经营塑料射出工厂的陈老板，被业务同事的消息吵醒：「老板，新闻说全世界很多网站用的 PHP 出了大漏洞，我们的官网、订单系统会不会有事？」他一边刷牙一边滑手机，满满都是英文缩写与「严重」「未登录即可攻击」之类的字眼。他打给 IT 窗口，对方说「我先看看」。陈老板心里只有两个问题：我们有没有事？客户会不会来问我？

这个早晨，很多老板都经历过类似的场面。这一讲，我们把新闻翻成你听得懂的话，并告诉你该问哪三个问题。

发生了什么事

PHP 可以想成「网站背后的大厨房」：你在网页上按下下单，厨房就负责把事情做完。这次被称为 PHP2Shell 的状况，是这间厨房出现了两个漏洞，信息安全业界的严重程度评分（CVSS v4）两个都是 9.2（满分 10）。

• 攻击者不需要登录，就可能从远程利用。
• 所有提供网页服务的 PHP 安装都受影响，年代久远的旧版本也包含在内。
• 官方在 2026 年 10 月 21 日推出新版修补；比较旧的版本，只有源代码修补，或根本没有修补。
• 研究员估计，网络上有超过 130 万台主机可能受影响（这是研究员的估计，并非官方数字）。
• 数据源 W3Techs 于 2026 年 10 月 22 日的统计显示，在「已知后端语言的网站」之中，有 69.3% 使用 PHP，所以才会说「全球 7 成网站」。

另外要记住一点：紧急设置只能「降低暴露」，更新版本才是唯一完整的修补。这和 2021 年 Java 的 Log4Shell 一样，说明任何编程语言都会有漏洞，这不是某一家公司的失误。

为什么 AI 时代更要快

先澄清：这不是「AI 造成的漏洞」。但 AI 确实让两件事变快了。

1. 找漏洞变快：发现这两个漏洞的研究团队 Calif 与 Wiz，都表示研究过程使用了 AI 模型；PHP 基金会的致谢名单也包含 Calif、OpenAI、Wiz。
2. 攻击上线变快：据信息安全公司 Tenable 整理，10 月 17 日（官方公布前 4 天），Amazon 的诱捕系统就观察到攻击尝试；10 月 20 日漏洞编号提前外流，官方把发布从 10 月 22 日提前到 21 日；21 日当天，Cloudflare 表示「开始看到早期攻击」。

信息安全公司 Rapid7 的第三季报告也指出：高风险漏洞从公开到被攻击，平均只有 3 天；第三季追踪到的攻击，有 71% 发生在公开后 7 天内。同一份报告里，有 8% 的威胁报告提到 AI 是攻击流程的一环，用在选技术、评估目标、失败时调整，但攻击的目标仍然由人决定。

结论很简单：漏洞一定会有，差别是谁先处理完。「我们没被攻击，所以不用处理」是最危险的想法，因为等你被攻击时，往往已经来不及。

管理者要问的三个问题

一、我们到底用了哪些系统？

你不必懂技术，但要知道有没有一份清单。请 IT 或厂商在一周内交出：

• 官网、订单、会员、报价等系统各一行；
• 每个系统用什么技术、由谁维护、放在哪里；
• 哪些是外包供应商代管，联系人是谁。

二、出事时谁负责？多久要处理完？

请把答案写成一句话：「接到漏洞通知后，由○○负责，○ 小时内完成盘点，○ 天内完成正式更新。」没有人名与时限，就等于没有流程。同时要有代理人，因为漏洞不会挑你出差的日子。

三、客户会先听你说，还是先看新闻？

客户看到新闻后，第一个反应是问供应商。主动说，客户觉得你可靠；被动等人问，客户只会怀疑。请先准备一份「中泰文两版」的通知范本，内容只需三件事：我们知道了、我们做了什么、你需要做什么。

一家服务商的 24 小时

以通云科技为例，官方公布后的应变时间，大致如下：

当天发给客户的说明视频（中文版）可在这里观看。你可以拿这张表对照自己公司：哪一格现在做不到？

🔧 AI 动手做：漏洞新闻翻译机

下次再看到信息安全新闻，不必等 IT 解释。把新闻和你公司用的系统一起贴给 AI，让它用老板听得懂的话回答。注意：不要贴密码或客户数据，只贴系统名称与用途即可，AI 的回答请当成「该问谁」的起点，由 IT 或厂商确认。

你是一位懂信息安全、也懂企业管理的顾问，我是没有技术背景的老板。请用简体中文、白话回答，不要吓人，也不要只说「请找专家」。

【我粘贴的漏洞新闻】
[粘贴新闻全文或重点段落]

【我公司用到的系统】
[例如：官网（外包供应商维护）、订单系统（自家 IT）、会员网站、报价单系统；有就列，不确定就写「不确定」]

【我公司的情况】
[行业与规模，例如：泰国的制造业，约 80 人；IT 窗口是 ○○；客户有泰国与台湾的买家]

请依序回答：
1. 用三句话说明这则新闻在讲什么、严重程度如何。
2. 我公司「可能有事」「应该没事」「无法判断」，并说明判断理由；无法判断的，请列出缺什么信息。
3. 我该问 IT 或厂商哪几个问题？（最多 5 题，每题用一句话，附上「期望的回答长什么样子」）
4. 需不需要通知客户？如果需要，请用中文和泰文各写一份 150 字内的通知草稿；如果不需要，请说明何时才需要。
5. 本周我可以做的三个动作，以及建议的负责人与完成时限。

最后请提醒我：哪些结论需要由 IT 或厂商确认后才算数。

本周就能做的一步：请 IT 窗口在周五前，交给你一份「公司用了哪些系统、谁负责维护」的一页清单，并写上一个你自己能背出来的时限：接到漏洞通知后，几小时内完成盘点。

数据源：Tenable：PHP2Shell 常见问题；Rapid7：PHP 两个未登录远程运行漏洞说明；Rapid7：2026 年第三季威胁报告；W3Techs：PHP 使用统计（2026 年 10 月 22 日）。