PHP 嚴重漏洞令全球多個網站停擺

全球各地的網站紛紛停擺，原因是一種用來建立全球資訊網上大量網站的電腦語言被發現存在嚴重漏洞。

比利時、荷蘭、芬蘭、法國和德國的網站也在其中。各國政府忙於修補 PHP 的重大漏洞，並暫時關閉相關網站；PHP 幾乎用於70%的網站。

這種程式語言的漏洞於週二公開，引發華盛頓和倫敦的國家安全機構發出警告。數以百萬計的網站需要修補。一名網絡基建專家表示，俄羅斯國家行為者或有組織犯罪集團可能利用這個漏洞發動網絡攻擊。

WordPress 是最常見的網站系統之一，使用 PHP；Wikipedia、通訊軟件 Slack，以及至少在過去的 Facebook 大部分內容也使用 PHP。維基媒體基金會表示，該會週三基於預防措施關閉了數個系統，待安裝修補程式後才重新啟用。

負責這種語言的組織週三發佈修補程式。研究人員在測試網絡防禦措施時發現了這個漏洞。美國國家安全局要求所有使用 PHP 的組織，如未能立即安裝修補程式，便將系統下線。該局表示，這個漏洞可能「直接通往伺服器的檔案系統或資料庫」。

英國國家網絡安全中心提出了類似建議，並要求機構檢查是否有「攻擊者安裝的後門」。

由於修補方法現已公開，而 AI 工具只需少量工夫便能逆向分析這個漏洞，專家表示，他們正為一波入侵潮作準備，黑客正爭相趕在更新前下手。

網絡安全研究及事故應變公司 TLP:Black 的共同創辦人 Costin Raiu 表示，AI 正推動一場「漏洞利用競賽」。他説，下一步將是「互聯網上每一部易受攻擊的網絡伺服器遭大規模入侵」。

薩裏大學網絡安全專家 Alan Woodward 教授表示：「這令人非常意外，也令人擔憂，因為 PHP 在全球的使用範圍非常廣。PHP 很快便發佈了修補程式。關鍵是所有使用 PHP 的人都要安裝修補程式，確保系統安全。

「令人擔憂的是，會有一大批網站未必得到妥善維護，因此會繼續存在漏洞，這意味着我們可能會看到持續數星期甚至數月的攻擊。對於那些大型而誘人的目標，我真心希望它們能迅速完成修補。」

Woodward 表示，不法分子有一段可乘之機。「這場競賽正在進行，有些人很不幸，甚至不知道自己身處其中。」

OpenAI 表示，該公司帶領一個研究人員聯盟發現了這個漏洞，並聲稱「前沿 AI」發揮了關鍵作用。然而，發現這個漏洞的研究人員表示，他們使用的是公眾可用的模型。

網絡安全公司 Calif 在一篇網誌文章中表示，該公司於8月1日在大型語言模型協助下發現這些漏洞，並自此一直着手修補。Alphabet 旗下網絡安全公司 Wiz 在網誌文章中表示，該公司亦在其自主 AI 漏洞研究工具 Wiz Atlas，以及 Google 的 Gemini 4 Argon 和 OpenAI 的 GPT-5.6 Sol 協助下發現了這個漏洞。

Wiz 的網誌文章指出，這些漏洞在 PHP 程式碼庫中隱藏了十多年，人類黑客要利用它們會極其困難。

Amazon 安全主管 CJ Moses 於週三較晚時候在一篇網誌中表示，其安全團隊於 10 月 17 日偵測到有人試圖利用這些漏洞，攻擊其一個誘捕用「蜜罐」系統；當時距離漏洞公開披露還有四天。

Moses 表示，這次針對該系統的嘗試來自一個匿名互聯網地址，顯示有威脅行為者進行了這項活動。他補充説，尚不清楚該行為者如何在漏洞仍處於保密期時得知這些漏洞。

白宮在一份聲明中表示，週五已獲悉該漏洞。

在英國，愛丁堡、布里斯托和牛津市議會所屬的網站被下線。在法國，包括巴黎警察總局網站在內的地方政府網站於週三離線；荷蘭的國家數碼身份服務、眾議院網站及國家網絡安全中心網站亦然。

澳洲訊號局在當地時間夜間一度受到故障影響。該國的網絡防禦機構指出，其他政府網站可能也受到類似影響。

互聯網基礎設施專家 Michał Woźniak 説：「這個漏洞將會被大量自動化利用。」他表示，這個漏洞可能讓加密貨幣礦工利用有漏洞的伺服器，以他人為代價牟利。

他又説，大型犯罪組織和俄羅斯國家級行為者可能會利用有漏洞的網站作為跳板，發動分散式阻斷服務（DDoS）及其他網絡攻擊。

Woźniak 表示，這個問題突顯了互聯網基礎設施狀況欠佳。隨着 AI 模型不斷進步，這種狀況逐漸浮現，但其實是長期形成的問題。研究人員發現的底層漏洞已有數十年歷史。

他説：「這是行業環境方面的問題；這個行業存在迅速行事和作出改動的誘因。」「有誘因部署某樣東西，之後就從不更新，也不考慮維護。」