全球廣泛使用的開源程式語言 PHP 近日被發現兩個嚴重安全漏洞，CVSS 風險評分高達 9.2 分（滿分 10 分），屬於「嚴重」級別。PHP 是眾多網站和網絡應用的基礎技術，有報道引述《華爾街日報》指，全球多達七成網站可能受今次漏洞影響。多國網絡安全機構，包括美國國家安全局（NSA）、英國國家網絡安全中心（NCSC）等，罕有地發出緊急警告，呼籲網站管理員立即採取行動，安裝最新版本的 PHP 或相關修補程式，以堵塞漏洞。若未能及時更新，當局建議網站管理員應考慮暫時將網站離線，直至完成修補為止。
PHP 被發現兩個嚴重漏洞，多國機構呼籲網站管理員立即修補。
漏洞詳情與潛在影響
據了解，是次發現的兩個漏洞允許攻擊者在受影響的網站伺服器上執行惡意程式碼，從而可能完全控制伺服器、竊取敏感資料，或將網站作為進一步攻擊的跳板。PHP 官方已於當地時間週三發布修補程式，並同時為已停止支援的舊版本提供緊急更新。雲端安全公司 Cloudflare 的技術總監 Dane Knecht 表示，該公司已在其防火牆部署修復措施，以協助客戶抵禦潛在攻擊。然而，網絡安全公司 watchTowr 指出，他們已成功在實驗室環境中重現其中一個漏洞的攻擊方法，並觀察到互聯網上已出現針對這些漏洞的實際攻擊嘗試，情況令人關注。
是次漏洞的嚴重性不僅在於其技術層面，更在於 PHP 的普及程度。由個人博客、企業網站到大型電子商務平台，許多網站都依賴 PHP 運作。一旦漏洞被大規模利用，可能導致大量網站被入侵、資料外洩，甚至服務中斷，對全球數碼經濟和個人私隱構成重大威脅。因此，各國網絡安全機構才會罕有地發出如此高級別的警示，敦促所有使用 PHP 的組織立即行動。
AI 角色成焦點 揭開漏洞發現新時代
今次事件另一焦點，是漏洞的發現過程涉及人工智能。OpenAI 在其博客文章中指出，這些 PHP 漏洞是由一個自稱為「Calif」的駭客團隊，利用其人工智能模型 GPT-5.6 Sol 所發現。此外，人工智能雲端安全公司 Wiz 亦獨立識別出相關漏洞。OpenAI 表示，事件「突顯了人工智能如何揭露具有互聯網規模影響的安全漏洞，但同樣的能力亦可幫助攻擊者快速開發攻擊工具和漏洞利用程式」。這番言論點出了 AI 在網絡安全領域的雙刃劍本質：一方面，AI 能夠協助防禦者更有效率地找出系統弱點；另一方面，攻擊者亦可利用 AI 加速開發攻擊手法，令攻防雙方的競爭更趨激烈。
事實上，近期已有 AI 公司開始採取「慢速發布」策略，先讓網絡安全專家使用其模型來加固防禦和識別問題，然後才向公眾開放，以減低風險。然而，對於一般互聯網用戶而言，最關心的莫過於漏洞修補的速度能否追上攻擊者的步伐。OpenAI 亦預期，類似由 AI 發現的重大安全漏洞在未來數月將會「急劇增加」，意味著網站管理員和網絡安全業界將面臨更嚴峻的挑戰。
網站管理員應急措施
對於網站管理員而言，當務之急是立即檢查其所使用的 PHP 版本，並盡快升級至最新版本。若網站使用共享主機服務，應主動聯絡主機供應商，確認對方是否已安裝相關修補程式。在完成更新前，可考慮暫時啟用網站應用防火牆（WAF）規則，或限制不必要的服務曝光，以降低風險。此外，定期備份網站資料亦是重要的防禦措施，以便在遭受攻擊時能迅速恢復。
長遠來看，今次事件反映出現代互聯網基礎技術的脆弱性，以及 AI 在加速漏洞發現的同時，亦可能加劇攻擊威脅。業界需要更積極地推動安全開發實踐，並建立更快速的漏洞通報和修補機制。與此同時，監管機構和企業應加強合作，確保關鍵基礎設施能及時應對層出不窮的安全風險。對於普羅大眾而言，雖然無法直接修補伺服器漏洞，但提高網絡安全意識，例如避免使用來歷不明的網站、定期更改密碼等，仍是保護個人資料的不二法門。
總括而言，PHP 是次嚴重漏洞再次敲響警鐘，提醒我們網絡安全風險無處不在，而 AI 時代的來臨更令攻防節奏加快。無論是網站營運者還是普通用戶，都應密切關注事態發展，並採取適切的防護措施。
留言區 (0)