PHP 嚴重漏洞促使全球機構緊急更新系統
Race to update services' computer systems after cyber-security flaw found
PHP 開發者公佈廣泛使用的 PHP 存在嚴重漏洞，促使各地機構和企業緊急檢查並更新系統，多個網站因此暫時下線。英國政府稱 32 項政府服務無法使用、4 項部分無法使用，主要是預防措施；目前未有成功攻擊報告。PHP Foundation 警告，在特定條件下，未經身份驗證的攻擊者可遠端執行伺服器程式碼，漏洞影響多個過往版本。
PHP 漏洞影響多個過往版本，報道從政府服務停運、企業應對及攻擊嘗試增加，呈現大範圍修補工作的時間壓力。
機構和企業仍忙於更新系統，因為廣泛使用的程式語言 PHP 被揭露存在網絡安全漏洞。
全球各地的網站在星期三和星期四下線，此前 PHP 開發人員表示，這種用於網頁開發數十年的後端語言被發現存在「嚴重漏洞」。
研究人員警告，這些「嚴重」漏洞可能令數以百萬計使用 PHP 的網站面臨遭黑客入侵的風險，若未安裝修補程式；英國政府亦為防範風險而令部分網站下線。
至今未有成功攻擊的報告，但專家表示，任何影響可能需要時間，甚至數月，才會完全顯現。
唐寧街週四表示，進行保安工作期間，「部分」有限度的政府服務「可能會暫停運作」。
「據我所知，有 32 項政府服務無法使用，另有四項只能部分使用，」科技大臣 Baroness Lloyd of Effra 在上議院表示。
她將此歸因於「主要是因為採取了預防措施，在套用安全更新和緩解措施期間保護系統」。
政府沒有説明哪些服務下線，但表示英國沒有大型面向公眾的關鍵服務受影響。
發言人表示，政府各部門已展開工作，以「識別並修復系統可能存在的風險，而我們的專家正繼續就此事與 OpenAI 及國際合作夥伴緊密合作」。
「但這不代表他們遭到黑客入侵，而解決任何問題的工作仍在繼續，」他們補充。
國家網絡安全中心（NCSC）首席技術官 Olly Whitehouse 稱，這次事件「前所未見」。
「我猜，所有人都會感受到影響，」他在 BBC Radio 4 的 World At One 節目中表示。
但他表示，沒有「任何成功遭黑客入侵的跡象」。
他表示，NCSC「開始收到正面確認」，證實發給受影響人士的建議，外部已獲接收，並正付諸實行。
網絡安全講師 Rory Hopcraft 向 BBC 表示，政府需要確保自身基建已更新至最新版本。
「黑客入侵已經存在多年，」他説。
「政府制定規則供其他機構遵守……現在只需要切實做到自己所宣揚的事情。」
在南威爾斯切普斯托經營車房的 Dean Presley 向 BBC Your Voice 表示，他無法在網上妥善處理 MOT 檢驗。
他表示，電腦系統自週三早上起一直故障；雖然他過去也遇過服務中斷，但從未持續這麼久。
「MOT 檢驗可以照常進行，而且合法，但所有文件和證書都無法列印，也沒有記錄在系統內，」Dean 説。
他表示，這迫使他把所有資料寫在紙本文件上，令客戶有所延誤。
PHP 是 PHP: Hypertext Preprocessor 的縮寫。
PHP 是一種在網頁伺服器上、於網站幕後運行的程式語言，實際上讓你可以瀏覽所訪問的網站。
當你前往某個網站時，PHP 是收集資料並實際將其轉換成可供你閲讀頁面的程式碼。
PHP 在 1990 年代初期開發，旨在支援動態網頁和應用程式，但至今仍為許多平台提供支援。
PHP 曾廣泛應用於多種平台，包括維基百科、網上商店，以及作為許多網站系統的 WordPress；PHP 亦用於編寫建立網絡應用程式的工具，而 Laravel、Symfony 和 Drupal 都是熱門的 PHP 框架。
據協助揭露本週曝光的 PHP 嚴重漏洞的網絡安全公司 Wiz，外部表示，PHP 為全球 70% 的網站提供支援。
該公司表示，這些如今被稱為「php2shell」的漏洞，是 PHP 語言本身固有的問題，影響多個舊版本。
維護這種程式語言的非牟利組織 PHP Foundation 警告，在適當條件下，這意味著未經驗證的攻擊者能夠在運行 PHP 的伺服器上遠端執行程式碼。
一些大型機構表示，曾發現大量入侵其系統的嘗試。
互聯網基礎設施公司 Cloudflare 的負責人 Matthew Prince 週四在 X 上發文，外部表示，在 PHP 漏洞公開公佈前的 10 小時內，公司在其網絡上發現「數以千計」次利用漏洞的嘗試。
他補充説：「公佈後 45 分鐘內，這個數字躍升至數以萬計；兩小時內增至數以十萬計，現在更達數以百萬計。」
Amazon 亦表示，曾發現黑客嘗試利用這些漏洞，但其網站一直正常運作。
PHP 漏洞造成的影響仍有待觀察，但週三許多網站下線後，企業和機構仍持續受到幹擾。
一間專門從事網絡安全的荷蘭機構網站、芬蘭政府和維基百科部分頁面此前曾暫時下線，至週四已恢復正常運作。
不過，週四有多個網站似乎下線，營運者正忙於檢查系統內是否運行 PHP，以及是否需要安裝任何修補程式。
法國電訊公司 Orange 亦表示，外部，在部署安全修補程式期間，已暫停全球部分服務的存取。
根據使用掃描檢查受 PHP 漏洞威脅伺服器的一些網絡安全研究人員，實施修補程式的機構比率有所上升——但全球速度未如預期般快。
全球網絡安全公司 NCC Group 的網絡情報及應變副總裁 Matt Hull 表示：「應對時間窗口已大幅縮短。」
「幾年前，攻擊者可能需要數周才能利用一個漏洞；現在可能只需數天，甚至數小時。」
Hull 亦指出，負責處理這個問題的開發人員和工程師正面對艱鉅的工作。
他説：「事件發生數天後，安全專業人員可能已面臨嚴重倦怠。」他呼籲大家「抽時間休息、分擔工作，並互相照顧」。
「韌性有賴人員，也有賴科技。」
來源：BBC Technology · bbc.co.uk