PHP2Shell 衝擊全球：美國 NSA 建議無法更新的網站先下線，歐洲多國政府網站、維基媒體與網路檔案館暫停服務
2026-10-22
事件摘要
PHP2Shell 漏洞公開後，各國資安機關陸續發布警告。依維基百科與 CyberScoop 的整理：
| 機構 | 建議 |
|---|---|
| 美國國家安全局（NSA） | 無法立即更新的網站應先下線 |
| 英國國家網路安全中心（NCSC） | 發布類似警告，並提醒留意後門 |
| 歐盟電腦緊急應變小組（CERT-EU） | 建議網站下線，許多歐洲機構照做 |
| 日本國家網路安全辦公室 | 建議立即更新 |
| 美國 CISA | 截至 10 月 21 日尚未觀察到漏洞被利用，但警告未修補的系統面臨風險 |
多個網站採取了預防性下線，包括荷蘭政府入口網站 Overheid.nl、丹麥全國學校平台、芬蘭政府所有對外的網路服務，以及法國內政部所有網站。維基媒體基金會關閉了多項支援服務，其 Phabricator 也預防性停用；4chan 與 Something Awful 下線，網路檔案館（Internet Archive）也曾短暫關閉以進行修補；日本則有部分網站下線，包括 Cygames 旗下作品與許多電商網站。
影響範圍有多大
依網站技術統計機構 W3Techs 10 月 22 日的數據，在已知伺服器端語言的網站中，有 69.3% 使用 PHP，其中 65.3% 使用 PHP 8；WordPress、Drupal、Joomla、Magento 與 Laravel 都建立在 PHP 之上。研究人員估計，超過 130 萬台連上網際網路的主機可能受影響，Shodan 的搜尋則找到約 190 萬台；依 VirusTotal 的資料，在會公開版本號的伺服器中，約 75.8 萬台仍在使用已停止支援的 5.4 到 8.1 版，使用仍受支援版本的約 27.2 萬台。
大量網站停留在已停止支援的舊版本，是這次修補最大的難題：官方二進位檔只提供給 8.2 以上的版本，7.4 到 8.1 只有原始碼層級的修補，更舊的版本則要仰賴作業系統發行版或第三方廠商。
技術意義解讀
這次事件突顯了兩個長期存在的問題。第一是軟體老化：大量網站多年沒有升級 PHP 版本，一旦底層出現重大漏洞，修補就變成浩大工程。第二是修補速度與攻擊速度的賽跑：資安公司 Sansec 預估修補發布後 15 分鐘內就會出現大規模攻擊，Fastly 的 Kelly Shortridge 也指出，這種等級的漏洞從揭露到大規模利用，通常只有幾小時到幾天。
「預防性下線」雖然代價高，但對無法立即更新的系統，是降低風險最直接的方法。這也提醒所有對外提供服務的系統，包括機器人與 IoT 設備的網頁管理介面，都需要有清楚的資產盤點與快速修補流程，延伸討論可參考從 PHP2Shell 看機器人與 IoT 系統的資安。
原文報導
訂閱 RoboTech Lab 電子報
每週一封，整理新的教學、論文導讀與機器人業界動態。隨時可以取消訂閱。