PHP爆重大資安漏洞 全球七成網站陷危機 企業被迫下線

全球網站正面臨被迫下線的風險，原因是核心網路軟體中發現一項重大安全漏洞。英國網路安全首長在人工智慧模型揭露 PHP 程式語言中的弱點後，向英國各機構發出這項警告。根據網路安全公司 Cloudflare 的資料，PHP 軟體支撐全球近七成網站，包括 WordPress 和 Magento 等平台。

攻擊者可能利用這項漏洞，遠端控制執行該語言的伺服器。美國國家安全局（NSA）旗下的網路安全部門警告，程式碼中的弱點可能提供「直接通往伺服器檔案系統或資料庫的管道」。

10月22日（週三）當天，多個公部門機構受到衝擊，包括牛津市議會（Oxford City Council）和愛丁堡市議會（City of Edinburgh Council），兩者皆將旗下網站下線。芬蘭政府的入口網站部分功能也遭癱瘓，BBC 部分節目的頁面無法使用，而英國預算責任辦公室（Office for Budget Responsibility）則「鑑於影響 PHP 的重大資安問題」將其網站下線。

英國大臣們證實，部分政府線上服務在系統進行安全加固期間可能暫時無法使用，但預期影響程度有限。一位政府發言人表示：「政府各部門已著手主動識別並修補任何潛在的風險。我們鼓勵所有公私部門機構，無論規模大小，遵循 NCSC 發布的指引，了解自身曝險程度並採取必要措施保護其系統。」

Cloudflare 執行長 Matthew Prince 透露，在漏洞公開披露前，攻擊嘗試次數從數千次激增為數小時內的數百萬次。Prince 在 X 平台上發文寫道：「關於 #php2shell 的一些數據。在漏洞公開宣布前的 10 小時內，我們在 Cloudflare 網路上觀察到數千次嘗試利用此漏洞的攻擊。公告發布後 45 分鐘內，這個數字躍升至數萬次，2 小時內達到數十萬次，現在已達到數百萬次。」

根據《華爾街日報》報導，網路安全公司 Calif 的研究員 Ryan Austin 於 8 月透過 OpenAI 模型發現了這項漏洞。OpenAI 在協助開發人員準備修補程式後，將此事件描述為「近年來最具影響力的資安事件之一」。

這家人工智慧公司表示：「據我們所知，前沿 AI 在攻擊者之前發現了這些漏洞，為維護人員和資安業者在漏洞披露前準備修補與防護措施打開了防禦者之窗。」

英國國家網路安全中心（NCSC）官員敦促各機構立即安裝軟體修補程式，或將受影響的網站下線。前 NCSC 主管 Ciaran Martin 在《泰晤士報》電台（Times Radio）上警告，這項漏洞可能導致大規模詐騙和信用卡盜竊事件。Martin 表示：「這涉及取得信用卡的個資，包括卡片背面那三個關鍵數字等資訊，因此民眾未來必須對詐騙保持警覺。這類犯罪的範圍將更為擴大。雖然這項漏洞無法讓勒索軟體攻擊者直接進行勒索行動，但可以讓他們在組織內部取得立足點。這也使得冒充企業高階主管的詐騙行為更加容易，因為攻擊者能取得更多相關資訊。所有這類型的詐騙和欺詐活動都將因此被大幅加速。」