PHP 漏洞引發全球網絡安全警報

科學技術情報通信部網站截圖。（圖片：科學技術情報通信部網站截圖）

前所未有的網絡安全危機，令全球70%網站暴露於黑客攻擊威脅之下。廣泛用於網站開發的程式語言 PHP 被發現存在漏洞，黑客可能藉此在無須登入的情況下入侵伺服器。各國正設法防止攻擊，包括將受影響網站下線。韓國政府及相關機構亦已啟動緊急應對措施。

10月22日，科學技術情報通信部（MSIT）及韓國互聯網與保安局（KISA）將私營機構的網絡危機警報級別上調至「注意」；這是四個級別中的第二級，依次為「關注」、「注意」、「警戒」及「嚴重」。此前一天，PHP 開發人員披露了兩個漏洞。當局啟動緊急應對措施，包括增加處理網絡事故的人手，並安排緊急應變小組候命。

「新近披露的漏洞可能令攻擊者在未經驗證的情況下控制伺服器，而且海外已有人報告攻擊企圖。我們應對的速度將決定損害程度。」國家安全顧問室第三副顧問 Song Ki-ho 在總統辦公室國家安全室主持的政府、民間及軍方緊急網絡安全會議上表示。「我們必須迅速應對，並團結一致。」

PHP 是一種用於開發網站及其他網絡服務的程式語言。例如，顧客在網上購物網站輸入產品名稱後，託管該網站的伺服器會搜尋該產品並返回搜尋結果。PHP 用於編寫指令，讓伺服器執行這類工作。網站建立及管理平台 WordPress 亦以 PHP 運作。美國網絡技術分析公司 W3Techs 的資料顯示，全球約70%網站使用 PHP。

PHP 開發人員於10月21日表示，內部安全審核發現了漏洞，並發布緊急修補程式。利用這些被稱為「PHP2Shell」的漏洞，黑客可能在短短數秒內遠端執行任意程式碼並入侵網站，無須另行登入或進行驗證。

世界各地政府已啟動緊急應對措施。美國國家安全局（NSA）發布通告，敦促機構安裝相關安全修補程式，並建議如未能即時更新，應暫時將系統下線。據路透社報道，包括法國內政部及荷蘭國家網絡安全中心在內的多個歐洲政府機構，亦曾暫停網站運作。

南韓的情況尤其令人關注，據報當地不少網站仍使用無法接收更新的舊版 PHP。法國網絡安全公司 CybelAngel 的資料顯示，南韓約有25,000部伺服器使用 PHP 8.1 或更早版本，佔版本可識別伺服器的82%。由於 8.1 及更早版本已不再提供官方更新，營運者必須升級至 8.3 或更新版本，才能安裝新發布的安全修補程式。

MSIT 建議，如果無法套用更新，應封鎖外部存取或暫時暫停網站。副總理兼科學技術資訊通信部部長 Bae Kyung-hoon 在 Facebook 發文表示，必須迅速應對，因為這些漏洞可能導致客戶資料外洩或網站遭篡改。

這些 PHP 漏洞因由 AI 模型發現而受到進一步關注。美國網絡安全公司 Calif 使用 OpenAI 的 GPT-5.6 Sol 檢查 PHP 原始碼時，找出這些漏洞並通報開發人員。與 Google 有關聯的網絡安全公司 Wiz 隨後透過另一項調查發現並通報這些漏洞。

保安專家多年前已發現有問題的程式碼，但由於當時認為在實際攻擊中利用這些程式碼的技術難度甚高，因此沒有採取進一步行動。發現 AI 能夠找出利用這些程式碼的方法後，當局隨即緊急應對。Wiz 共同創辦人 Ami Luttwak 向《華爾街日報》表示，這些漏洞是「有史以來由 AI 發現的最嚴重漏洞」，而且複雜程度極高，若沒有 AI 協助，人類永遠不可能發現。

漏洞必須在託管網站的伺服器上修補，而非在個別用戶的電腦上修補。一般用戶無須安裝任何額外軟件。網站營運者或伺服器管理公司必須套用 PHP 安全更新。PHP 開發人員表示，單靠更改某些設定，無法徹底解決問題。