PHP 是甚麼？AI 揭出潛藏十多年的漏洞，引發全球網絡安全警報

作者：Osmond Chia

商業記者

十多年來，支撐互聯網大部分服務的技術一直存在嚴重漏洞，卻始終未被發現。

人工智能（AI）揭露了這些漏洞，並引發全球網絡安全警報。

一種名為 PHP 的編程語言存在這些漏洞。自 2000 年代起，全球各地一直使用 PHP 建構網站。

週三，全球各地的政府和網絡安全機構急忙控制這項發現造成的影響，並敦促網站營運者安裝新的緊急修補程式，或考慮將其平台下線。

網絡安全公司 Wiz——其研究人員發現了這些漏洞，是相關公司之一——形容這些漏洞是人工智能發現過的「最嚴重」漏洞。

OpenAI 的技術被用來發現這些漏洞，該公司稱這項發現是「近期記憶中影響最深遠的安全問題之一」。

漏洞是甚麼？

大部分人可能未聽過 PHP——PHP: Hypertext Preprocessor 的簡稱——但他們肯定每天都會接觸到它。

許多平台都由 PHP 驅動，包括網上商店、維基百科，以及 WordPress；這是一種內容管理系統，許多網站（例如網誌）都以此為基礎。

Gorilla Cyber Security 行政總裁 Paul Spain 向 BBC 表示，當你瀏覽維基百科等網站時，PHP 就是負責收集你所需資訊，並以可在網上閲讀的方式呈現的程式碼。

但由於存在一個漏洞，攻擊者可能毋須驗證身份便控制受影響的網絡伺服器，並竊取敏感資料，因此所有以 PHP 建構的內容都暴露於風險之中。

Spain 表示，人工智能可能令這類攻擊更容易、更快捷；他估計這個漏洞可能影響「數以百萬計」的網站。

阿德萊德大學的網絡安全研究員 Jill Slay 表示，如果黑客或國家利用這個漏洞發動攻擊，並從網站竊取私人資料，後果將會是「災難性的」。

哪些網站受到影響？

這次警報令全球各地的服務受到幹擾，涉及遊戲平台、政府網站入口及網上論壇。

其中包括負責營運網上百科全書維基百科的 Wikimedia；該機構採取預防措施，將旗下多個系統下線。

芬蘭政府、愛丁堡市議會及 BBC 均已將網站和網頁下線；荷蘭的網絡安全機構亦撤下了其網站。

蘇格蘭多個公共機構，包括市議會和醫療衞生局，亦已將其網站下線。

有專家警告，維護不善的網站可能因這個漏洞而面臨更大風險，尤其是安全資源有限的小型機構所屬的網站。

UNSW Sydney 的網絡安全研究員 Salil Kanhere 表示，由於技術細節現正公開，未來數星期很可能會出現更多利用這些漏洞的攻擊。

漏洞曝光後發生了甚麼事？

PHP 平台的開發者週三推出修補程式，修復潛藏在其軟件多年的漏洞。

該公司表示：「強烈建議所有 PHP 用戶立即更新。」

世界各地的當局及安全機構也向網站營運者發出相同警告，要求他們保障平台安全。

美國國家安全局告知所有使用 PHP 的機構，如果無法立即安裝修補程式，便應將系統下線；該局又指出，這個漏洞可能成為利用系統資料庫的「直接途徑」。

該局表示：「這些風險十分嚴重，美國政府各部門及機構必須立即安裝修補程式。」

英國國家網絡安全中心提出類似建議，並提醒機構檢查是否有「攻擊者安裝的後門」。

歐盟及澳洲的同級機構也發出了類似警報。

日本首相 Sanae Takaichi 呼籲民眾檢查其可公開瀏覽的網站是否使用 PHP。

Takaichi 在 X 上寫道：「我們緊急呼籲所有人今晚採取行動。」

她表示：「如果難以迅速套用修補程式，暫時停用網站及採取類似措施，可視為降低風險的有效方法。」

AI 如何找出弱點？

網絡安全研究人員在保安公司 Calif 和 Wiz 任職，他們發現了這些漏洞。

研究人員使用先進的 AI 工具分析程式碼，找出漏洞的速度比人類或舊一代系統快得多。

Kanhere 表示：「現代軟件極其複雜，有些漏洞可能多年未被發現。」

Kanhere 表示：「底層錯誤並非新問題；改變的是我們找出它們的能力。」

本週，這項發現的詳情在網上外洩，迫使 PHP 平台的開發人員倉促發布公告，披露這項安全漏洞及其龐大規模。

OpenAI 在一篇網誌文章中表示，這宗事件「凸顯 AI 如何找出安全漏洞」，但也顯示 AI 如何「協助攻擊者迅速開發攻擊工具和漏洞利用程式」。

ChatGPT 的開發商表示，已推出一個程式，用來檢查 PHP 平台是否安全。

昆士蘭大學網絡研究中心的 Ryan Ko 表示：「許多這類漏洞源於過去建構軟件時的做法；當時着重功能，沒有把安全納入考量。」

人們可以怎樣保障自身安全？

有人呼籲網站擁有人使用最新版本的 PHP，保障網站安全。

美國國家安全局呼籲各方在未來數週「提高警覺」，並密切留意軟件供應商發布的更新。

該局表示：「為相關系統套用修補程式時，保持警覺至關重要。」

Kanhere 表示，主要責任在網站營運者身上，但用戶應留意受影響服務發出的安全建議，例如要求更改密碼的通知。

他也提醒民眾提防利用這宗事件的廣泛報道作掩飾的網絡釣魚訊息。