PHP爆重大漏洞全球多个网站下线　方保侨吁即装修补程式　未能修复应暂停开放

全球广泛使用的网页程式语言PHP被发现两项严重保安漏洞，多国政府及网络安全机构紧急呼吁网站营运者安装更新，未能及时修复的系统应考虑暂时下线。芬兰、荷兰等地已有公共网站预防性停止服务。香港资讯科技商会荣誉会长方保侨提醒，漏洞可让黑客在未经授权下掌控服务器，网站管理员应立即盘点系统及安装修补程式，无法短期内完成修复的网站应暂停开放。

芬兰政府停公共网上服务　荷兰多个网站下线

据英国广播公司（BBC）报道，芬兰暂时关闭政府公共网上服务，荷兰网络安全机构亦表示，因应漏洞将自身网站下线。荷兰国家公共卫生与环境研究院网站同样停止服务，国会下议院网站亦一度无法浏览。

英国爱丁堡市议会网站，以及BBC节目《异世奇人》（Doctor Who）和《叛徒》（The Traitors）的部分网站亦出现无法浏览情况。不过，相关机构当时尚未确认是否与PHP漏洞有关，不能一概视为遭黑客入侵。

多个欧洲政府网站已采取预防措施。路透社报道，部分国家表示暂未发现受攻击迹象，关闭网站主要是为争取时间处理风险。

AI协助揭发漏洞　黑客或毋须登入即可入侵

两项漏洞由网络安全公司Calif及Wiz的研究人员利用人工智能协助发现。OpenAI表示，Calif在其“Patch the Planet”计划中利用AI识别出一项严重漏洞，Wiz亦独立发现及通报两项漏洞，修复工作则由PHP维护团队主导。

欧盟电脑保安事故应变组织（CERT-EU）指出，两项漏洞均可导致“未经身分验证的远端程式码执行”，即攻击者可能毋须登入系统，便能在受影响服务器执行程式码。两项漏洞的严重程度评分同为9.2分，满分为10分。

方保侨：PHP如网站“大脑”　漏洞可危及大量网站

方保侨解释，PHP是一种广泛应用于服务器端的开源程式语言。若把网页的HTML及CSS比喻为网站的“外观与骨架”，PHP便是隐藏在幕后的“大脑与处理器”。

当使用者在浏览器按下按钮、填写表格或登入帐户，服务器上的PHP便可能负责处理数据、连接数据库，并产生相应的网页内容。WordPress等内容管理系统，以及不少电子商务和企业平台，均依赖PHP运作，因此核心程式一旦出现漏洞，影响可涉及大量网站。

对于网上流传约七成互联网受影响的说法，BBC引述Wiz的估算，但表示未能独立核实。PHP使用广泛，亦不代表所有采用PHP的网站均已遭入侵。

方保侨强调，网站管理员及企业资讯科技团队的当务之急，是尽快完成系统盘点，并安装官方最新发布的安全修补程式。

他指出，若网站架构复杂，无法在短时间内升级修正，应果断暂时下线，或切换至维护模式，待彻底解决漏洞后再重新开放，不能抱侥幸心理，给黑客可乘之机。

CERT-EU同样建议，若未能立即修补，应考虑将对外服务与公共网络隔离，直至修复及验证完成。单靠显示维护页面，并不等同底层PHP漏洞已获修复。

官方已推出更新　旧版本须另作处理

PHP团队已于21日发布安全更新，修复版本包括PHP 8.5.12、8.4.27、8.3.36及8.2.35。使用相关分支较旧版本的机构，应尽快按官方及服务供应商指引更新。

PHP 8.1及更旧分支已停止常规官方支援，使用者应联络系统供应商确认有否提供修补，或升级至受支援版本。部分旧版本亦获提供最低限度的原始码修补，惟须由具备相应能力的团队处理。