OpenAI於21日表示，其AI模型協助研究人員發現，網站開發程式語言PHP存在2項重大安全漏洞。全球多地網站包含荷蘭、比利時政府及英國媒體BBC等機構，均緊急採取網站下架等預防性措施，日本首相高市早苗也發文示警。PHP官方則於同日晚間發布修補漏洞的更新版本，並呼籲各網站管理員盡快完成更新。
數發部資安署22日對此回應，第一時間已通知各政府機關及企業儘速修補更新，截至22日上午為止，尚未收到有台灣網站受害災情。
資安署提醒，若無法完成更新，應先將網站預防性下架，降低遭受攻擊風險；網站完成更新後，也應持續檢視系統日誌及異常存取紀錄，若發現可疑活動，應進一步確認相關帳號與憑證的安全性。
超文字預處理器PHP（Hypertext Preprocessor），是一種開源的伺服器端腳本語言，主要用於建置動態網站、內容管理系統以及實現網站運作自動化等。當使用者在瀏覽器輸入網址並按下Enter後，PHP會在遠端伺服器上執行運算，並將組合好的頁面內容傳回至瀏覽器。
根據網路技術追蹤機構W3Techs統計，在全球能辨識使用何種程式語言架設的網站中，有近7成均使用PHP，其中包含約4成網站使用的架站軟體WordPress，以及Drupal、Joomla與Magento等主要內容管理系統，均以PHP為底層架構。
此次被發現的2項漏洞，編號分別為CVE-2026-109618與CVE-2026-109619，統稱「PHP2Shell」。其中CVE-2026-109618涉及PHP記憶體不足時的處理機制，可能造成內部資料尚未完整初始化就被錯誤使用；CVE-2026-109619則與記憶體釋放後殘留的全域狀態有關。
根據路透報導，這2項資安漏洞的嚴重程度，在業界通用評分標準CVSS v4.0中高達9.2分（滿分10分），屬於重大資安威脅。攻擊者無須通過身分驗證，即可透過網路遠端執行任意程式碼，換句話說，攻擊者不需要帳號或密碼，就能在有漏洞的伺服器上執行指令。
歐盟資安應變小組CERT-EU表示，PHP一旦出現漏洞，數百萬台伺服器就可能同時面臨相同的攻擊風險，攻擊者甚至可能因此掌控整個網站。網頁託管服務商GoDaddy表示，這可能導致資料遭竊、網頁遭竄改或整個網站癱瘓。
此外該報導也提及，許多小型網站通常由無專職資安人員的業者或個人經營，且經常使用共享主機服務，無法直接管理伺服器，也可能不清楚是誰負責更新PHP。
PHP團隊表示，更新程式碼是目前唯一能徹底修補漏洞的方法，不過此舉只能降低遭攻擊的風險，仍無法保證伺服器不會遭攻擊者入侵。
網路基礎設施公司Cloudflare技術長Dane Knecht則表示，已觀察到初步攻擊，正持續更新緩解措施。
PHP團隊也提及，無論是防禦者或攻擊者，如今都能利用工具比以往更快找出程式漏洞，預計相關通報將持續增加，但目前PHP資安維護仍仰賴少數由基金會資助的開發人員及志工，相關工具也還無法自行判斷如何修正引擎中長期存在的設計問題、權衡修補對相容性的影響，或是審查修補程式碼等，能處理上述問題的專業人才仍不足。