廣泛支撐全球逾七成網站的PHP程式語言，10月21日披露兩項CVSS評分各達9.2分的高危漏洞，攻擊者無需身分驗證即可遠端接管伺服器。荷蘭、芬蘭政府網站提前下線，台灣數位部資安署呼籲各機關學校企業立即完成修補。
1. AI協助揭露深藏十年隱患
今年8月，資安公司Calif研究員Ryan Austin在OpenAI人工智慧模型協助下，於PHP程式語言的記憶體管理機制中找到一批多年來未受重視的嚴重缺陷，AI能力改變了過去「這些問題太難被利用」的判斷。Calif執行長Thai Duong表示，這是PHP逾十年來最嚴重的安全問題，嚴重程度相當於2014年「心臟出血」（Heartbleed）事件。Google旗下Wiz研究團隊與OpenAI研究人員事後也各自發現新的攻擊途徑，OpenAI並資助了這批開源程式碼安全研究計畫。
2. 兩項高危漏洞允許遠端執行程式碼
PHP安全團隊將此批問題命名為PHP2Shell，就兩項高危漏洞發出緊急通報，CVSS v4.0評分均達9.2分。攻擊者可繞過身分驗證，從外部對伺服器下達指令並執行任意程式碼，依系統規模不同，入侵所需時間從數秒至數小時不等。路透社報導，PHP開發者確認漏洞後，台灣時間10月21日晚間10時發布修補版本，此次修補規模龐大，涉及近200個原始碼檔案，工程師為此撰寫超過1萬行程式碼。
3. 各國政府與資安機關緊急應對
在修補程式發布前，荷蘭與芬蘭政府機關以預防為由，主動讓轄下網站離線；網路安全公司Cloudflare同步更新防火牆規則作為過渡保護。歐洲、澳洲、日本及英國的國家資安機關相繼發出通報，要求PHP使用者立即更新或先行下線。日本首相高市早苗在社群平台發文，呼籲各界確認網站是否使用PHP並備妥升級措施；美國國家安全局建議無法即時修補的機構，應優先讓相關網站離線以降低風險。
4. 台灣資安署通報機關學校企業
台灣數位部資安署掌握情資後，立即啟動跨機構告警程序，借助多項資安通報管道，將修補要求傳達至全台政府機關、學校及民間企業。資安署指出，PHP不僅直接支撐網站運作，也是WordPress、Drupal等廣受使用內容管理系統的核心組件，管理者即使未明確知道其服務採用PHP，同樣面臨潛在風險，必須主動清點。完成版本升級後，各單位還應審查伺服器日誌，確認近期有無來源不明的異常連線。
資安專家警告，修補程式公開後攻防競賽隨即啟動，攻擊者可利用AI快速分析程式碼差異，各機構須在攻擊腳本廣泛流傳前把握時間完成更新。
精華 FAQ
Q1：PHP2Shell漏洞多嚴重？
評分達9.2分，攻擊者無需身分驗證即可遠端接管伺服器，PHP開發者形容這是逾十年來最嚴重的安全漏洞。
Q2：哪些網站系統受到影響？
任何以PHP建置的網站均有風險，包括WordPress、Drupal、Joomla、Magento系統，以及底層使用PHP但未明示的服務。
Q3：管理員應如何因應此漏洞？
應立即更新PHP至已修補版本；無法即時完成者建議先讓網站下線，更新後並檢視系統日誌確認有無異常存取。
資料來源：中央社、鉅亨網、路透社
留言