PHP爆重大漏洞全球多個網站下線　方保僑籲即裝修補程式　未能修復應暫停開放

全球廣泛使用的網頁程式語言PHP被發現兩項嚴重保安漏洞，多國政府及網絡安全機構緊急呼籲網站營運者安裝更新，未能及時修復的系統應考慮暫時下線。芬蘭、荷蘭等地已有公共網站預防性停止服務。香港資訊科技商會榮譽會長方保僑提醒，漏洞可讓黑客在未經授權下掌控伺服器，網站管理員應立即盤點系統及安裝修補程式，無法短期內完成修復的網站應暫停開放。

芬蘭政府停公共網上服務　荷蘭多個網站下線

據英國廣播公司（BBC）報道，芬蘭暫時關閉政府公共網上服務，荷蘭網絡安全機構亦表示，因應漏洞將自身網站下線。荷蘭國家公共衞生與環境研究院網站同樣停止服務，國會下議院網站亦一度無法瀏覽。

英國愛丁堡市議會網站，以及BBC節目《異世奇人》（Doctor Who）和《叛徒》（The Traitors）的部分網站亦出現無法瀏覽情況。不過，相關機構當時尚未確認是否與PHP漏洞有關，不能一概視為遭黑客入侵。

多個歐洲政府網站已採取預防措施。路透社報道，部分國家表示暫未發現受攻擊迹象，關閉網站主要是為爭取時間處理風險。

AI協助揭發漏洞　黑客或毋須登入即可入侵

兩項漏洞由網絡安全公司Calif及Wiz的研究人員利用人工智能協助發現。OpenAI表示，Calif在其「Patch the Planet」計劃中利用AI識別出一項嚴重漏洞，Wiz亦獨立發現及通報兩項漏洞，修復工作則由PHP維護團隊主導。

歐盟電腦保安事故應變組織（CERT-EU）指出，兩項漏洞均可導致「未經身分驗證的遠端程式碼執行」，即攻擊者可能毋須登入系統，便能在受影響伺服器執行程式碼。兩項漏洞的嚴重程度評分同為9.2分，滿分為10分。

方保僑：PHP如網站「大腦」　漏洞可危及大量網站

方保僑解釋，PHP是一種廣泛應用於伺服器端的開源程式語言。若把網頁的HTML及CSS比喻為網站的「外觀與骨架」，PHP便是隱藏在幕後的「大腦與處理器」。

當使用者在瀏覽器按下按鈕、填寫表格或登入帳戶，伺服器上的PHP便可能負責處理數據、連接資料庫，並產生相應的網頁內容。WordPress等內容管理系統，以及不少電子商務和企業平台，均依賴PHP運作，因此核心程式一旦出現漏洞，影響可涉及大量網站。

對於網上流傳約七成互聯網受影響的說法，BBC引述Wiz的估算，但表示未能獨立核實。PHP使用廣泛，亦不代表所有採用PHP的網站均已遭入侵。

方保僑強調，網站管理員及企業資訊科技團隊的當務之急，是盡快完成系統盤點，並安裝官方最新發布的安全修補程式。

他指出，若網站架構複雜，無法在短時間內升級修正，應果斷暫時下線，或切換至維護模式，待徹底解決漏洞後再重新開放，不能抱僥倖心理，給黑客可乘之機。

CERT-EU同樣建議，若未能立即修補，應考慮將對外服務與公共網絡隔離，直至修復及驗證完成。單靠顯示維護頁面，並不等同底層PHP漏洞已獲修復。

官方已推出更新　舊版本須另作處理

PHP團隊已於21日發布安全更新，修復版本包括PHP 8.5.12、8.4.27、8.3.36及8.2.35。使用相關分支較舊版本的機構，應盡快按官方及服務供應商指引更新。

PHP 8.1及更舊分支已停止常規官方支援，使用者應聯絡系統供應商確認有否提供修補，或升級至受支援版本。部分舊版本亦獲提供最低限度的原始碼修補，惟須由具備相應能力的團隊處理。