广泛使用的程式语言PHP出现两项重大资安漏洞，修补程式虽已发布，黑客也已展开攻击，促使亚洲和欧美政府、企业加紧修补，部分网站预防性暂停服务。台湾资讯安全机构也已发布警告。这波事件不代表所有关站网站都已遭黑，但网站业者不能只等平常的自动更新。

一、最新进展：修补程式已发布　攻击也已出现

PHP开发团队周三（10月21日）发布紧急修补程式，呼吁用户立即更新。全球资讯安全机构也建议，无法及时修补的受影响网站，应先暂停服务。

亚马逊（Amazon）说，10月17日、也就是漏洞公开前四天，就在诱捕黑客的“蜜罐”系统侦测到攻击尝试。周三（10月21日）公开前，又有不同攻击者接连尝试。亚马逊尚不确定这些攻击若针对真实网站，是否能够得逞，但表示漏洞如今已遭广泛利用。

专家担心，修补程式公开后，黑客可藉AI分析漏洞，加快攻击尚未更新的网站。

二、漏洞有多严重？不用帐号密码，就可能控制伺服器

两项漏洞在CVSS 4.0风险评分中均达9.2分，满分为10分。欧盟资讯安全应变小组CERT-EU说，黑客可能无须登入，就能透过互联网在有漏洞的伺服器上执行程式。

网站代管业者GoDaddy说，后果可能包括资料遭窃、网页遭窜改，甚至整套系统被入侵。

不过，网站是否受到影响，仍须确认使用的PHP版本、系统设定和防护措施，不能把使用PHP直接等同已遭黑。

延伸阅读：OpenAI ChatGPT等AI聊天没保密义务！法庭可调阅　6种内容要小心

三、PHP是什么？为何牵动这么多网站？

PHP是网站后端使用的程式语言。使用者开启网页时，伺服器透过PHP组合内容，再将完成的页面传给浏览器。它是免费、开放原始码的软件，由义工维护，网站经营者往往不会直接操作。

依W3Techs资料，在能辨识后端程式语言的网站中，约七成至四分之三使用PHP。这不等于所有网站的占比。

全球约四成网站采用的WordPress，主要以PHP编写；Drupal、Joomla和Magento等平台也使用PHP，因此漏洞影响广泛。

四、亚洲哪些服务暂停？台湾也示警

日本首相高市早苗周三（10月21日）晚间呼吁企业尽快修补，若难以及时更新，可考虑暂停网站或其他服务。

日本企业纷纷采取预防措施，全日空（ANA）暂停网站和App服务，包括Apple Wallet登机证。野村、三菱日联金融集团和部分地方银行暂停非核心服务；朝日集团暂停部分网站和系统，京阪控股关闭网站；世嘉（SEGA）和万代南梦宫（Bandai Namco）对部分网站进行紧急维护。

台湾、香港和新加坡资安机构也已发布警告和因应建议。澳大利亚部分政府网站在修补期间暂停服务；阿里云和腾讯云则要求客户尽快更新PHP。

五、欧洲和全球平台受影响情况如何？

荷兰国家资安中心本身也预防性关站，鹿特丹港、政府入口网站、足球协会、五大政党及部分医院网站跟进。

芬兰政府公共互联网服务预防性下线；法国内政部将旗下所有网站转入预防性维护。丹麦也暂停部分服务，包括全国学校通讯平台。

维基百科营运单位暂停部分支援系统，互联网档案馆也曾短暂下线处理问题。这些措施不代表相关网站已遭入侵。

六、WordPress自动更新就够了吗？

不一定。WordPress资讯安全外挂业者Wordfence警告，一般自动更新不会完成这次PHP修补。网站经营者须确认由谁管理伺服器、是否使用受影响版本，以及代管业者是否已完成更新。

WordPress.com营运商Automattic表示，使用该公司网站代管服务的用户，以及Tumblr用户，都不受这次漏洞影响。至于自行架站，或由其他业者代管的WordPress网站，则须另行确认是否安全。

缺乏专职资安人员、又无法直接管理伺服器的小型网站，尤其需要向代管业者确认。

七、AI为何同时成为防守和攻击工具？

美国资安业者Calif和Alphabet旗下Wiz，分别借助AI发现漏洞，再和PHP团队协调修补。Calif说，8月1日发现问题，8月11日通报；Wiz则在8月24日通报第二项漏洞。

这些问题潜藏逾十年，过去要证明并利用漏洞，须完成极复杂的步骤。AI让研究人员更容易找出漏洞，也让黑客更容易利用漏洞发动攻击。

蒙纳士大学（Monash University）学者Rashina Hoda另提醒，诈骗和互联网钓鱼攻击可能随之增加。

延伸阅读：

全球七成网站爆重大安全漏洞！AI协助发现 部分网站紧急下线

AI双面刃！助揪PHP重大漏洞 却让黑客更容易发动大规模攻击

【本文获“联合新闻网”授权转载。】