用於全球七成網站PHP爆重大漏洞 數字辦向政府部門發保安警報 要求即時檢視系統並修補

全球廣泛使用的網頁程式語言PHP被發現兩項嚴重保安漏洞，多國政府及網絡安全機構緊急呼籲網站營運者安裝更新，芬蘭、荷蘭等地更已有公共網站預防性停止服務。數字辦今日（22日）表示，高度關注有關廣泛被應用於全球網站後端運作的程式語言PHP所存有的嚴重安全漏洞。數字辦已向所有政府決策局／部門及公營機構發出保安警報，要求即時全面檢視其資訊系統有否受影響，並必須盡快完成系統修補工作，否則相關系統須暫時離線或隔離，以降低被惡意入侵的風險。

至今未接獲相關網絡保安事故報告

同時，數字辦已為託管所有政府決策局／部門主頁的網站寄存服務完成所需的系統修補工作。截至目前為止，數字辦並沒有接獲任何相關網絡保安事故報告。數字辦呼籲公眾及機構立即為所有受影響的系統安裝修補程式。香港網絡安全事故協調中心今日已向公眾發布「保安公告」及公報。如有需要，可經電郵（hkcert@hkcert.org）、電話（8105 6060）或網上表格向香港網絡安全事故協調中心尋求協助。

AI協助揭發漏洞　黑客或毋須登入即可入侵

兩項漏洞由網絡安全公司Calif及Wiz的研究人員利用人工智能協助發現。OpenAI表示，Calif在其「Patch the Planet」計劃中利用AI識別出一項嚴重漏洞，Wiz亦獨立發現漏洞，修復工作則由PHP維護團隊主導。

歐盟電腦保安事故應變組織（CERT-EU）指出，兩項漏洞均可導致「未經身分驗證的遠端程式碼執行」，即攻擊者可能毋須登入系統，便能在受影響伺服器執行程式碼。兩項漏洞的嚴重程度評分同為9.2分，滿分為10分。

方保僑提醒，漏洞可讓黑客在未經授權下掌控伺服器，網站管理員應立即盤點系統及安裝修補程式。

全球廣泛使用的網頁程式語言PHP被發現兩項嚴重保安漏洞。路透社

方保僑：PHP如網站「大腦」　漏洞可危及大量網站

資訊科技商會榮譽會長方保僑提醒，有關漏洞可讓黑客在未經授權下掌控伺服器，網站管理員應立即盤點系統及安裝修補程式，無法短期內完成修復的網站應暫停開放。方保僑解釋，PHP是一種廣泛應用於伺服器端的開源程式語言。若把網頁的HTML及CSS比喻為網站的「外觀與骨架」，PHP便是隱藏在幕後的「大腦與處理器」。

當使用者在瀏覽器按下按鈕、填寫表格或登入帳戶，伺服器上的PHP便可能負責處理數據、連接資料庫，並產生相應的網頁內容。WordPress等內容管理系統，以及不少電子商務和企業平台，均依賴PHP運作，因此核心程式一旦出現漏洞，影響可涉及大量網站。

對於網上流傳約七成互聯網受影響的說法，BBC引述Wiz的估算，但表示未能獨立核實。

方保僑強調，網站管理員及企業資訊科技團隊的當務之急，是盡快完成系統盤點，並安裝官方最新發布的安全修補程式。

他指出，若網站架構複雜，無法在短時間內升級修正，應果斷暫時下線，或切換至維護模式，待徹底解決漏洞後再重新開放，不能抱僥倖心理，給黑客可乘之機。

CERT-EU同樣建議，若未能立即修補，應考慮將對外服務與公共網絡隔離，直至修復及驗證完成。單靠顯示維護頁面，並不等同底層PHP漏洞已獲修復。

官方已推出更新　舊版本須另作處理

PHP團隊已於21日發布安全更新，修復版本包括PHP 8.5.12、8.4.27、8.3.36及8.2.35。使用相關分支較舊版本的機構，應盡快按官方及服務供應商指引更新。

PHP 8.1及更舊分支已停止常規官方支援，使用者應聯絡系統供應商確認有否提供修補，或升級至受支援版本。部分舊版本亦獲提供最低限度的原始碼修補，惟須由具備相應能力的團隊處理。