YouTube 影片筆記

日本首相呼籲關站背後，PHP 藏了 14 年的漏洞如何被 AI 挖出

YTGet 編輯室泛科學院觀看 5.8萬觀看原片

原片標題：15分鐘解析全球網路危機 PHP2Shell 到底是什麼？｜泛科學院

原片說明

日本首相高市早苗在 X 上呼籲大家當晚就更新網站？更有多國政府網站暫時性關閉，到底PHP2Shell危機是什麼？為何撐起全球約七成網站的 PHP，會爆出兩個 9.2 分的高風險漏洞？為什麼早有徵兆卻拖了兩年？AI 如何同時加速找漏洞與寫攻擊程式；以及漏洞細節提早外流的 24 小時。最後整理一般人和有網站的人，現在就能做的事。歡迎加入頻道會員 ➤ https://www.youtube.com/channel/UCATnB3v_NkTTd9iD_4W2A-g/join // 延伸閱讀 // 01:22 第一章｜為什麼全球都在用 PHP 05:45 第二章｜PHP 基金會到底在幹嘛 08:04 第三章｜AI 是助手還是幫兇 10:09 第四章｜崩潰的 24 小時 12:06 第五章｜小心趁亂而來的釣魚訊息 12:53 有網站的人，現在就該做的五件事 ▍參考資料 PHP 基金會（10/21 安全更新）：https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ PHP 基金會（10/14 安全團隊說明）：https://thephp.foundation/blog/2026/10/14/how-the-php-security-team-handles-your-reports/ 主編：柯雅芸主持人：鄭國威顧問：張師獻腳本：柯雅芸剪接：麥智成

日本首相在 X 上叫大家「今晚就把網站關掉」，這畫面也太荒謬了吧。一個程式語言的漏洞，居然能逼到政府機關下線、手遊緊急維護，而且還是個藏了 14 年的老問題。泛科學院這支影片把 PHP2Shell 從頭拆給你看，從 PHP 為什麼能撐起全球七成網站，到 AI 怎麼把這個陳年 bug 挖出來，最後還告訴你現在該做什麼。

影片時間軸

00:00高市早苗在 X 發文，要求當晚修補或關站
01:22用餐廳廚房比喻 PHP 的角色與這次漏洞成因
04:14兩個漏洞編號與 9.2 分嚴重度，影響兩千多萬個系統
05:45PHP 基金會成立背景與巴士係數只有 2 的窘境
08:08OpenAI 與 Wiz 等團隊用 AI 幾乎同時挖出漏洞
10:09漏洞編號提前外流，協調揭露機制被迫提前破功
12:06釣魚話術提醒與有網站的人該做的五件事
14:02結尾呼籲訂閱，並拋出開源公共財該由誰守護的問題

一個藏了 14 年的洞

漏洞本身不難懂：記憶體上限喊停的瞬間，寫到一半的便條留在工作檯上，下一張單就能把攻擊者寫的卡片塞進剛空出來的抽屜。真正讓人停下來想的是，這個 bug 從 2012 年就存在，14 年間沒人找到實際利用方法，直到 AI 出現。影片把技術細節講得很白話，廚房的比喻撐了整段，不會讓人看到一半就放棄。

巴士係數只有 2 的開源專案

PHP 撐起全球 69.3% 的網站，核心維護者卻少到兩隻手指頭數得出來。2021 年 Nikita Popov 宣佈轉移重心，社群才驚覺這件事，JetBrains、Automattic 等企業出錢成立基金會。2024 年德國政府資助的外部稽核其實已經發現早期徵兆，但修法會讓舊程式不相容、要數以千計的擴充模組跟著改，安全團隊共識決卡住，拖了好幾個月。基金會事後自己承認這是結構性失敗。

AI 同時是救火隊和縱火犯

OpenAI 的 Patch the Planet 計畫、Wiz 的 Gemini 加 GPT 組合，不同團隊不同模型幾乎同時挖出同一個問題。但 Wiz 報告裡那句話很刺：AI 改變的是把弱點變成能實際運作的攻擊程式的能力。OpenAI 自己也承認同樣能力能幫攻擊者開發工具。更現實的是，PHP 安全團隊七月至今發布 15 個漏洞編號，同時處理了 106 份無效或重複的報告，AI 能分類，判斷還是得靠人。