PHP爆重大資安漏洞 英國政府緊急應對 強調預算案機密未遭外洩

英國政府部長指出，下週即將公布的政府預算案，其機密安全性並未因網頁程式語言PHP的重大資安漏洞而受到威脅。

蘇格蘭事務大臣道格拉斯·亞歷山大（Douglas Alexander）被問及PHP漏洞是否可能導致預算案內容外洩時，強調由於預算責任辦公室（OBR）已主動將其網站下線，因此沒有安全疑慮。

在此之前，網路安全主管機關已警告英國各機構，因一名研究人員運用AI發現PHP存在「重大安全問題」，相關網站可能需要暫時關閉。網路安全公司Cloudflare指出，PHP被全球近70%的網站所使用。

亞歷山大週四上午接受Times Radio採訪時表示：「不，我完全沒有收到任何跡象顯示預算案安全遭到突破。」他進一步指出：「事實上，財政大臣約翰·希利（John Healey）是我昨天在蘇格蘭會見的對象，據我了解，他在今年夏天接任財政大臣時，便已參考其過去在國防部的經驗，啟動了新的安全協議。」

值得注意的是，去年OBR的預算分析報告曾在前財政大臣瑞秋·李芙斯（Rachel Reeves）向下議院發表聲明前，意外地被提前公布於網路上，導致市場敏感資訊提前曝光。

國家網路安全中心（NCSC）已呼籲各機構將PHP軟體更新至新的修復版本，若無法立即升級，則應考慮暫時將網站下線。此次安全漏洞可能讓攻擊者遠端控制任何運行PHP的網頁伺服器，而PHP同時是WordPress和Magento等主流平台的基礎技術。

亞馬遜與Cloudflare均表示，在漏洞消息公布後的數小時內，便偵測到大量利用該漏洞的攻擊嘗試。

亞馬遜在AWS安全部落格發布的最新消息中指出，其威脅情報團隊發現該漏洞「目前正在野外被廣泛利用」。

Cloudflare執行長馬修·普林斯（Matthew Prince）週四表示，該公司在漏洞消息公布後的兩小時內，便偵測到數十萬次駭客攻擊嘗試，且攻擊行為仍在持續進行中，數量已達數百萬次。

普林斯在X平台上發文指出：「在消息正式公開前的10小時內，我們在Cloudflare的網路上已觀察到數千次利用嘗試。消息公布後45分鐘內激增至數萬次，兩小時內達到數十萬次，目前則已達到數百萬次。」

據報導，PHP開發團隊原定於週四發布安全更新，但由於其修復漏洞的細節在更新發布前便已在網路上外洩，因此被迫提前釋出修補程式。

薩里大學網路安全中心（SCCS）客座計算機科學教授艾倫·伍德沃德（Alan Woodward）在接受BBC Radio 4《Today》節目採訪時表示：「這個秘密比預期更早被揭穿了。」「原本有此禁運協議，在漏洞被公開知曉與修補程式發布之間通常會有一段時間差，讓攻擊者無法成功入侵。但不幸的是，在修補程式發布的前一天，有人提前洩露了消息。」

他進一步解釋：「最初的修補版本已釋出，因此很容易將原始程式碼與修補版本進行比對，找出需要利用的程式碼段落。亞馬遜、Cloudflare等所有監控網路活動的公司，都觀察到這個漏洞正被探測中。」

伍德沃德補充道：「我們不確定是否已有實際攻擊發生，但可以肯定的是，有人正在探測各大網站是否存在該漏洞。」

《華爾街日報》先前報導指出，該漏洞是由資安公司Calif的研究員萊恩·奧斯汀（Ryan Austin）於今年八月透過OpenAI開發的先進AI模型所發現。

伍德沃德教授向BBC Radio 4說明，該漏洞事實上早在2024年就已被人類研究員識別，但當時認為利用此安全漏洞過於複雜，因此並未採取行動。他表示：「今年發生的事情是，隨著大型語言模型在分析這類問題方面變得越來越有效，人們找出了利用該漏洞的方法，這就是過去一週幕後一直在發生的事情。」

他指出：「人們一直在緊急應對，說『好吧，事實上，是的，你可以利用它，我們現在需要修補它』。幸運的是，PHP基金會已在昨天下午發布了修補程式，這就是為什麼大家都在爭相確保該程式已部署到位的原因。」