AI 協助發現可能威脅全球近 70% 網站的 PHP 嚴重漏洞
AI helps uncover critical PHP flaws threatening 70pc of internet
研究人員藉助前沿 AI 模型發現 PHP 的兩個嚴重漏洞，兩者的 CVSS v4.0 嚴重程度評分為 9.2/10。PHP 用於全球近 70% 網站，漏洞可能讓攻擊者在易受影響的伺服器執行惡意程式碼、暴露客戶資料或中斷服務。多地政府及企業網站於 10 月 21 日下線以作防護，PHP 維護者已發出警告並推動升級。
報道交代 PHP 在全球網站中的普及程度，並指出前沿 AI 模型降低展示漏洞可利用性的門檻，呈現漏洞影響範圍與修補壓力。
Wiz 表示，這些漏洞可説是軟件史上發現過的「最嚴重漏洞」之一。
全球多個政府及企業網站昨日（10月21日）下線，以防範與 PHP 程式語言相關的重大網絡安全漏洞；這些漏洞是利用前沿 AI 模型發現的。
PHP 是一種廣泛使用的伺服器端指令碼語言，專為網頁開發而設，全球近 70pc 的網站均有使用。這種開源語言會與網頁內容及數據庫互動，並在把最終輸出傳送至用戶的瀏覽器前處理後端及邏輯。
Cloudflare 表示，這兩個嚴重漏洞在 CVSS v4.0 嚴重程度評分標準（業界通用的評分系統）中獲評 9.2 分（滿分 10 分），攻擊者或可利用漏洞在易受攻擊的伺服器上執行惡意程式碼、洩露客戶資料或幹擾服務。Cloudflare 警告，由於 WordPress 和 Magento 等廣泛使用的平台均以 PHP 建構，漏洞或會影響大量網站。
Wiz 表示，這些漏洞「屬於 PHP 有史以來發現的最嚴重漏洞之一，甚至可説是軟件史上最嚴重的漏洞之一」。Wiz 是一家以色列網絡安全公司，現隸屬 Alphabet。
「這些漏洞早已存在數十年，但要證明它們可被利用，需要一連串極其複雜的步驟……前沿 AI 模型大幅降低了這道門檻，令一個長期存在的漏洞變成可利用的漏洞。」
OpenAI 表示，該組織於 8 月首次發現這些漏洞，當時是由研究人員及安全供應商組成的聯盟一員；該聯盟由 OpenAI 的Daybreak 倡議領導。安全公司 Calif 發現一個嚴重漏洞，Wiz 亦獨立發現並通報了兩個漏洞。PHP 維護團隊發出警告，並帶頭升級系統。
ESET Ireland 表示，若未安裝修補程式，攻擊者或可無需密碼便控制網絡伺服器。該公司促請愛爾蘭企業聯絡網頁開發人員或主機服務供應商，確認網站是否已更新。
ESET Ireland 網絡安全專家 George Foley 表示：「大部分愛爾蘭小企業東主從未聽過 PHP，但他們的網站很可能正使用 PHP。」
「對公眾而言，風險較不易察覺。罪犯接管真正的網站後，會利用它向信任該網站的人散播惡意軟件或假登入頁面。未來數天，請小心處理任何意料之外的下載或付款要求，即使是在你熟悉的網站上也一樣。」
「亦要預期騙徒會迅速行動。騙徒幾乎肯定會發送電郵，聲稱企業網站已被入侵，並要求收件人透過連結緊急修復。請直接聯絡網頁服務供應商，切勿點擊電郵中的連結。」
不要錯過成功所需的資訊。訂閲 Daily Brief，Silicon Republic 整理的必讀科技新聞摘要。
來源：Silicon Republic · siliconrepublic.com