逾90萬舊版 PHP 對外暴露，網站管理者先做版本盤點
Shadowserver 指出，全球有逾90萬個直接連上互聯網的 IP，運行 PHP 8.1 或更舊、已停止支援的版本。對使用 PHP 架設網站與 server 的機構而言，眼前要處理的未必只是單一漏洞，而是先掌握哪些公開服務已失去上游安全更新。
不過，這個數字屬監測估算，按 IP 位址而非 PHP 執行個體計算；一個 IP 可承載多個執行個體，不能直接視為受影響網站的精確總數。Shadowserver 的蜜罐在過去一周看到大量針對 PHP 的攻擊嘗試，但尚未確認 PHP2Shell 已被成功大規模利用，亦缺乏可靠的大規模偵測方法。因此，不能把所有 PHP 8.1 及以下系統直接等同已遭入侵。
風險重點在於已停止支援
iThome 報道指出，PHP 8.1 及更早版本已不在 PHP 專案的支援範圍，不能直接取得修補程式。Shadowserver 因而選擇通報這類舊版本的暴露情況，而非把個別目標直接標記為 PHP2Shell 漏洞暴露。
按 Shadowserver 的統計，美國的相關公開 IP 約28.1萬個，中國約7.8萬個、日本約6.8萬個；台灣約1.3萬個。這些地區分布不能推算香港的具體數量，但對本地的中小企、電商、學校及機構網站維運團隊仍有直接啟示：公開可達、又未獲上游支援的 PHP 部署，應列為優先盤點對象。
管理者可先完成三項工作
- 建立版本清單：盤點所有對外提供網站或 API 的 PHP 部署，確認實際運行版本，並留意同一 IP 可能承載多個網站或執行個體。
- 把 PHP 8.1 及以下列入升級風險清單：這些版本已停止支援，不能等待 PHP 專案直接派發更新。對外服務應先按暴露程度及業務重要性排列處理次序。
- 規劃升級與過渡修補：長遠應遷移至仍受支援的 PHP 版本。若短期未能升級，iThome 指出，管理者可能須自行編譯原始碼等方式處理修補；這類安排涉及部署及相容性風險，應在變更前核對網站依賴與復原安排。
PHP2Shell 事件的真正管理難點，是攻擊活動已出現，但可用的普查與確認手段仍有限。在這種情況下，版本資產盤點和淘汰停止支援的部署，比等待單一掃描結果更能幫助團隊縮小風險面。下一步值得留意的，是漏洞是否出現可靠的大規模偵測方式，以及仍使用舊版 PHP 的公開服務能否加快完成升級。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Shadowserver示警逾90萬個無法直接取得修補的舊版PHP執行個體暴露於公開網路，臺灣也有1.3萬個 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
