互聯網近期出現一宗被形容為「PHP 末日」（PHP armageddon）的安全事件。美國國家安全局（NSA）發出警告，指 PHP 程式語言中存在兩個嚴重漏洞，修補程式已經由 PHP 基金會發布。PHP 是廣泛應用於網站伺服器端的程式語言，支撐全球約七成網站，數量以千萬計，亦是 WordPress 等流行內容管理系統的基礎。NSA 的指引相當直接：若網站無法即時修補，應暫時下架，直至完成修補為止，以免被攻擊者乘虛而入。
PHP 廣泛應用於全球網站，今次漏洞影響層面極廣。
今次事件最令人震驚的地方，在於漏洞的「年齡」。據報道，這兩個漏洞自 2004 年推出的 PHP 5 開始，一直存在於所有版本之中，換言之，它們在互聯網底層潛伏了超過二十年。漏洞可讓攻擊者滲透伺服器的檔案系統，或存取網站應用程式所使用的資料庫。對於仍然運行 PHP 8.1 或更舊版本的網站，由於這些版本已不再受支援，營運者需要安排升級至現行版本，才能獲得修補保護。
AI 成為揭發者：OpenAI 與 Wiz 如何找出陳年漏洞
這兩個漏洞之所以在今日才被發現，與人工智能有直接關係。OpenAI 在其網誌披露，安全測試公司 Calif 參與了 OpenAI 的「Patch the Planet」計劃，利用 GPT-5.6 Sol 模型在開源軟件中尋找漏洞，結果發現了其中一個 PHP 漏洞。另一方面，Google 旗下的 Wiz 團隊亦運用其 Wiz Atlas 安全 AI 代理，配合 Gemini 4 Argon 及 GPT-5.6 Sol，在 PHP 中找到多個漏洞。
兩間公司均遵循負責任的安全研究做法，先與 PHP 基金會合作開發修補程式，再對外披露。Wiz 亦感謝 Automattic、Akamai、AWS、Cloudflare、Fastly、Imperva、Microsoft 及 Vercel 等多家企業協助測試及完善修補方案。OpenAI 表示，這些漏洞是由研究人員在黑客發現之前率先找出，目前未有報告顯示漏洞已被實際利用。不過，這並不代表風險已經解除，因為漏洞現已公開，黑客同樣得悉其存在。
AI 同時降低攻擊門檻 修補競賽展開
今次事件被視為「成也 AI，敗也 AI」的典型案例。Wiz 在其網誌中指出，在 AI 出現之前，這類漏洞對黑客而言其實相當難以利用，技術門檻很高；但隨着大型語言模型（LLM）的發展，情況已經改變。LLM 可以協助攻擊者因應不同的 PHP 版本、伺服器配置及記憶體佈局，調整攻擊方式，令原本難以觸及的漏洞變得可行。
換句話說，AI 一方面讓安全研究人員有能力在短時間內審視大量陳年代碼，找出人類難以察覺的漏洞；另一方面，同一項技術亦可能被惡意行為者利用，將漏洞轉化為實際攻擊。如今漏洞已經披露，互聯網正面臨一場與時間競賽的修補行動，目標是在黑客攻擊未修補的網站之前，盡量為數以千萬計的網站完成更新。
WordPress 用戶注意：漏洞並非 WordPress 獨有
由於 PHP 是 WordPress 的核心技術，不少網站營運者關注今次事件是否與 WordPress 本身有關。WordPress 方面已發聲明指出，該漏洞並非 WordPress 獨有，但運行 WordPress 的網站必須修補其伺服器，並與網站託管公司合作，確保網站受到保護。這意味着，單靠更新 WordPress 核心或外掛並不足夠，伺服器層面的 PHP 版本更新才是關鍵。
對於一般網站營運者而言，實際行動相當清晰：首先確認網站所使用的 PHP 版本，若為 PHP 8.1 或更舊版本，應盡快安排升級至受支援的版本；其次，與託管服務供應商確認修補狀態；若短期內無法完成修補，應認真考慮 NSA 的建議，暫時將網站下架，以策安全。對於依賴網站營運業務的企業來說，短暫下架固然帶來不便，但相比資料外洩或伺服器被入侵的風險，仍是較穩妥的選擇。
AI 安全研究的雙刃劍效應
今次 PHP 漏洞事件，折射出 AI 在網絡安全領域的深層矛盾。AI 確實擴大了安全研究的能力，讓研究人員能夠發現潛伏二十年的陳年漏洞，並在黑客利用之前完成修補，這無疑是正面的發展。然而，同一項技術亦令攻擊門檻下降，過往被視為「太難利用」的漏洞，如今可能輕易被改編成攻擊工具。
對企業和網站營運者來說，這次事件是一個提醒：軟件版本支援周期、伺服器修補管理，以及與託管商的溝通，都是網絡安全的基本功，不能因為系統「一直運作正常」而忽略。與此同時，監管機構及安全業界亦需要思考，如何在促進 AI 安全研究與防範 AI 被濫用之間取得平衡。隨着 AI 工具日益普及，類似「AI 發現、AI 加劇」的情況，恐怕只會愈來愈常見。
目前，修補程式已經發布，關鍵在於全球網站營運者能否及時行動。這場「PHP 修補競賽」的結果，將直接影響數以千萬計網站的安全，也為 AI 時代的網絡安全治理提供一個重要案例。
留言區 (0)