PHP 漏洞攻擊升至數百萬次 英國 32 個政府服務下線

英國 32 個政府服務自行下線，避開 PHP 漏洞攻擊

英國網絡安全事務大臣 Liz Lloyd 10 月 22 日在議會表示，32 項政府服務已經下線，主要屬於套用更新期間的預防措施。首相府稱沒有面向公眾的關鍵服務受影響，部分服務可能短暫離線，但這不代表被入侵。

英國國家網絡安全中心（NCSC）向受影響機構發出 50,000 個警示，並稱未收到任何因此漏洞而成功入侵的報告，但形容漏洞規模「前所未見」，而更新在部分舊系統上不管用，那些系統要整套更換。NCSC 前行政總裁 Ciaran Martin 稱這是五年來最嚴重的漏洞。英國預算責任辦公室、愛丁堡及牛津市議會網站先後離線，荷蘭網絡安全機構亦主動停站。

攻擊次數在兩小時內由數萬升至數百萬

Cloudflare 行政總裁 Matthew Prince 10 月 21 日晚至 22 日公布的數字，呈現攻擊量的爬升速度。

資料來源：The Guardian 引述 Matthew Prince，2026 年 10 月 22 日。

Amazon 威脅情報部門稱，漏洞「正被廣泛利用」。該公司保安主管 CJ Moses 表示，10 月 17 日已有匿名 IP 攻擊其誘餌系統；10 月 21 日的攻擊中，攻擊載荷和匿名化手法各有不同，顯示背後是多組攻擊者。Cloudflare 則指攻擊者正在改寫載荷，試圖繞過其防護規則。

漏洞影響 PHP 5.4 起所有版本，潛伏至少十年

兩個漏洞編號為 CVE-2026-109618 和 CVE-2026-109619，統稱 php2shell，由 Calif.io、Wiz、OpenAI 和 Quarkslab 共同披露，影響所有運行 PHP 5.4 或之後版本的網頁伺服器，可導致阻斷服務、遙距執行程式碼及資料外洩。PHP 支撐全球接近 70% 的網站，WordPress 和 Magento 等平台都建在其上。

發現者 Ryan Austin 研究 PHP 安全已 20 年，他說這是他找過最嚴重的漏洞，「起初只是一個直覺，沒有 AI 的話我抓不到」。美國國家安全局警告，攻擊者可藉此接管網頁伺服器、竊取資料、擾亂服務並深入內部網絡。不過 Austin 本人 10 月 22 日表示，「目前看來利用情況未算普遍」，與 Cloudflare 和 Amazon 的觀察不一致。

網站管理者現在要做的事

Cloudflare 指出，即使已有 WAF 防護，仍須為 PHP 本身套用更新，因為漏洞在 PHP 執行環境之內，改網站程式碼補不了。NCSC 建議無法即時修補的機構，考慮先把系統下線直至完成處理。已有防護的網站亦應檢查伺服器有否被植入後門：更新不會移除攻擊者事前留下的存取途徑。

來源

• UK working to identify exposure after global cyber-security warning（BBC，英國政府及 Amazon 反應）
• Websites across world hit by millions of attempts to exploit PHP code flaw（The Guardian，攻擊量及議會說法）
• Cloudflare deploys protections against php2shell vulnerability（Cloudflare，漏洞技術細節及防護）