全球 7 成網站用的 PHP 出了大漏洞：AI 時代，比的是誰先處理完
PHP2Shell 是影響大量網站的重大漏洞，官方 10 月 21 日推出修補，公布前就有攻擊嘗試。本講白話說明事件、AI 為何讓速度更重要，給管理者三個必問的問題，並附「漏洞新聞翻譯機」提示詞，幫你判斷公司有沒有事。
10 月 22 日早上，在曼谷郊區經營塑膠射出工廠的陳老闆，被業務同事的訊息吵醒：「老闆，新聞說全世界很多網站用的 PHP 出了大漏洞，我們的官網、訂單系統會不會有事？」他一邊刷牙一邊滑手機，滿滿都是英文縮寫與「嚴重」「未登入即可攻擊」之類的字眼。他打給 IT 窗口，對方說「我先看看」。陳老闆心裡只有兩個問題：我們有沒有事？客戶會不會來問我？
這個早晨，很多老闆都經歷過類似的場面。這一講，我們把新聞翻成你聽得懂的話，並告訴你該問哪三個問題。
發生了什麼事
PHP 可以想成「網站背後的大廚房」：你在網頁上按下下單，廚房就負責把事情做完。這次被稱為 PHP2Shell 的狀況，是這間廚房出現了兩個漏洞，資安業界的嚴重程度評分（CVSS v4）兩個都是 9.2（滿分 10）。
- 攻擊者不需要登入，就可能從遠端利用。
- 所有提供網頁服務的 PHP 安裝都受影響，年代久遠的舊版本也包含在內。
- 官方在 2026 年 10 月 21 日推出新版修補；比較舊的版本，只有原始碼修補，或根本沒有修補。
- 研究員估計，網路上有超過 130 萬台主機可能受影響（這是研究員的估計，並非官方數字）。
- 資料來源 W3Techs 於 2026 年 10 月 22 日的統計顯示，在「已知後端語言的網站」之中，有 69.3% 使用 PHP，所以才會說「全球 7 成網站」。
另外要記住一點：緊急設定只能「降低暴露」，更新版本才是唯一完整的修補。這和 2021 年 Java 的 Log4Shell 一樣，說明任何程式語言都會有漏洞，這不是某一家公司的失誤。
為什麼 AI 時代更要快
先澄清：這不是「AI 造成的漏洞」。但 AI 確實讓兩件事變快了。
- 找漏洞變快：發現這兩個漏洞的研究團隊 Calif 與 Wiz，都表示研究過程使用了 AI 模型；PHP 基金會的致謝名單也包含 Calif、OpenAI、Wiz。
- 攻擊上線變快：據資安公司 Tenable 整理，10 月 17 日（官方公布前 4 天），Amazon 的誘捕系統就觀察到攻擊嘗試；10 月 20 日漏洞編號提前外流，官方把發布從 10 月 22 日提前到 21 日；21 日當天，Cloudflare 表示「開始看到早期攻擊」。
資安公司 Rapid7 的第三季報告也指出：高風險漏洞從公開到被攻擊，平均只有 3 天；第三季追蹤到的攻擊，有 71% 發生在公開後 7 天內。同一份報告裡，有 8% 的威脅報告提到 AI 是攻擊流程的一環，用在選技術、評估目標、失敗時調整，但攻擊的目標仍然由人決定。
結論很簡單：漏洞一定會有，差別是誰先處理完。「我們沒被攻擊，所以不用處理」是最危險的想法，因為等你被攻擊時，往往已經來不及。
管理者要問的三個問題
一、我們到底用了哪些系統？
你不必懂技術，但要知道有沒有一份清單。請 IT 或廠商在一週內交出：
- 官網、訂單、會員、報價等系統各一行；
- 每個系統用什麼技術、由誰維護、放在哪裡；
- 哪些是外包廠商代管，聯絡人是誰。
二、出事時誰負責？多久要處理完？
請把答案寫成一句話：「接到漏洞通知後，由○○負責，○ 小時內完成盤點，○ 天內完成正式更新。」沒有人名與時限，就等於沒有流程。同時要有代理人，因為漏洞不會挑你出差的日子。
三、客戶會先聽你說，還是先看新聞？
客戶看到新聞後，第一個反應是問供應商。主動說，客戶覺得你可靠；被動等人問，客戶只會懷疑。請先準備一份「中泰文兩版」的通知範本，內容只需三件事：我們知道了、我們做了什麼、你需要做什麼。
一家服務商的 24 小時
以通雲科技為例，官方公布後的應變時間，大致如下：
| 時間 | 動作 |
|---|---|
| 10/22 上午 | 盤點公司與客戶的 PHP 系統；初步檢查未發現入侵跡象，持續監控中 |
| 10/22 中午 | 套用官方建議的緊急防護設定，系統不中斷 |
| 10/22 下午 | 主動用中泰文發出客戶通知與說明影片，客戶不需任何操作 |
| 接下來 | 正式更新版本已排定，逐站進行 |
| 修補後 | 逐站驗證與監控 |
當天發給客戶的說明影片（中文版）可在這裡觀看。你可以拿這張表對照自己公司：哪一格現在做不到？
🔧 AI 動手做：漏洞新聞翻譯機
下次再看到資安新聞，不必等 IT 解釋。把新聞和你公司用的系統一起貼給 AI，讓它用老闆聽得懂的話回答。注意：不要貼密碼或客戶資料，只貼系統名稱與用途即可，AI 的回答請當成「該問誰」的起點，由 IT 或廠商確認。
你是一位懂資安、也懂企業管理的顧問，我是沒有技術背景的老闆。請用繁體中文、白話回答，不要嚇人，也不要只說「請找專家」。 【我貼上的漏洞新聞】 [貼上新聞全文或重點段落] 【我公司用到的系統】 [例如：官網（外包廠商維護）、訂單系統（自家 IT）、會員網站、報價單系統；有就列，不確定就寫「不確定」] 【我公司的情況】 [行業與規模，例如：泰國的製造業，約 80 人；IT 窗口是 ○○；客戶有泰國與台灣的買家] 請依序回答： 1. 用三句話說明這則新聞在講什麼、嚴重程度如何。 2. 我公司「可能有事」「應該沒事」「無法判斷」，並說明判斷理由；無法判斷的，請列出缺什麼資訊。 3. 我該問 IT 或廠商哪幾個問題？（最多 5 題，每題用一句話，附上「期望的回答長什麼樣子」） 4. 需不需要通知客戶？如果需要，請用中文和泰文各寫一份 150 字內的通知草稿；如果不需要，請說明何時才需要。 5. 本週我可以做的三個動作，以及建議的負責人與完成時限。 最後請提醒我：哪些結論需要由 IT 或廠商確認後才算數。
本週就能做的一步：請 IT 窗口在週五前，交給你一份「公司用了哪些系統、誰負責維護」的一頁清單，並寫上一個你自己能背出來的時限：接到漏洞通知後，幾小時內完成盤點。
資料來源：Tenable：PHP2Shell 常見問題；Rapid7：PHP 兩個未登入遠端執行漏洞說明；Rapid7：2026 年第三季威脅報告；W3Techs：PHP 使用統計（2026 年 10 月 22 日）。