PHP重大漏洞掀全球警報　政府企業網站大規模停擺　重點一文看清

廣泛使用的程式語言PHP出現兩項重大資安漏洞，修補程式雖已發布，黑客也已展開攻擊，促使亞洲和歐美政府、企業加緊修補，部分網站預防性暫停服務。台灣資訊安全機構也已發布警告。這波事件不代表所有關站網站都已遭黑，但網站業者不能只等平常的自動更新。

一、最新進展：修補程式已發布　攻擊也已出現

PHP開發團隊周三（10月21日）發布緊急修補程式，呼籲用戶立即更新。全球資訊安全機構也建議，無法及時修補的受影響網站，應先暫停服務。

亞馬遜（Amazon）說，10月17日、也就是漏洞公開前四天，就在誘捕黑客的「蜜罐」系統偵測到攻擊嘗試。周三（10月21日）公開前，又有不同攻擊者接連嘗試。亞馬遜尚不確定這些攻擊若針對真實網站，是否能夠得逞，但表示漏洞如今已遭廣泛利用。

專家擔心，修補程式公開後，黑客可藉AI分析漏洞，加快攻擊尚未更新的網站。

兩項漏洞在CVSS 4.0風險評分中均達9.2分，滿分為10分。歐盟資訊安全應變小組CERT-EU說，黑客可能無須登入，就能透過網路在有漏洞的伺服器上執行程式。

網站代管業者GoDaddy說，後果可能包括資料遭竊、網頁遭竄改，甚至整套系統被入侵。

不過，網站是否受到影響，仍須確認使用的PHP版本、系統設定和防護措施，不能把使用PHP直接等同已遭黑。

+12

PHP是網站後端使用的程式語言。使用者開啟網頁時，伺服器透過PHP組合內容，再將完成的頁面傳給瀏覽器。它是免費、開放原始碼的軟件，由義工維護，網站經營者往往不會直接操作。

依W3Techs資料，在能辨識後端程式語言的網站中，約七成至四分之三使用PHP。這不等於所有網站的佔比。

全球約四成網站採用的WordPress，主要以PHP編寫；Drupal、Joomla和Magento等平台也使用PHP，因此漏洞影響廣泛。

日本首相高市早苗周三（10月21日）晚間呼籲企業盡快修補，若難以及時更新，可考慮暫停網站或其他服務。

日本企業紛紛採取預防措施，全日空（ANA）暫停網站和App服務，包括Apple Wallet登機證。野村、三菱日聯金融集團和部分地方銀行暫停非核心服務；朝日集團暫停部分網站和系統，京阪控股關閉網站；世嘉（SEGA）和萬代南夢宮（Bandai Namco）對部分網站進行緊急維護。

台灣、香港和新加坡資安機構也已發布警告和因應建議。澳洲部分政府網站在修補期間暫停服務；阿里雲和騰訊雲則要求客戶盡快更新PHP。

圖為日本首相高市早苗發文呼籲警惕PHP重大漏洞，儘快更新或暫停網站避險。（X/高市早苗）

荷蘭國家資安中心本身也預防性關站，鹿特丹港、政府入口網站、足球協會、五大政黨及部分醫院網站跟進。

芬蘭政府公共網路服務預防性下線；法國內政部將旗下所有網站轉入預防性維護。丹麥也暫停部分服務，包括全國學校通訊平台。

維基百科營運單位暫停部分支援系統，互聯網檔案館也曾短暫下線處理問題。這些措施不代表相關網站已遭入侵。

不一定。WordPress資訊安全外掛業者Wordfence警告，一般自動更新不會完成這次PHP修補。網站經營者須確認由誰管理伺服器、是否使用受影響版本，以及代管業者是否已完成更新。

WordPress.com營運商Automattic表示，使用該公司網站代管服務的用戶，以及Tumblr用戶，都不受這次漏洞影響。至於自行架站，或由其他業者代管的WordPress網站，則須另行確認是否安全。

缺乏專職資安人員、又無法直接管理伺服器的小型網站，尤其需要向代管業者確認。

美國資安業者Calif和Alphabet旗下Wiz，分別藉助AI發現漏洞，再和PHP團隊協調修補。Calif說，8月1日發現問題，8月11日通報；Wiz則在8月24日通報第二項漏洞。

這些問題潛藏逾十年，過去要證明並利用漏洞，須完成極複雜的步驟。AI讓研究人員更容易找出漏洞，也讓黑客更容易利用漏洞發動攻擊。

蒙納士大學（Monash University）學者Rashina Hoda另提醒，詐騙和網路釣魚攻擊可能隨之增加。