PHP 爆發嚴重漏洞 影響全球 40% 網站，包括Meta旗下 專家建議：未能即時更新就暫時關閉伺服器

PHP 出現嚴重安全漏洞 威脅全球網站運作

10月21日，廣泛用於構建網站同 Web App 嘅 PHP 程式語言發現咗兩個嚴重安全漏洞。PHP 開發團隊預計會喺今日推出修補程式（Patch），旨在解決呢啲如果唔處理就可能對互聯網造成毀滅性影響嘅漏洞。根據 PHP 開發者喺10月20日發布嘅公告，呢啲漏洞嘅嚴重程度評分高達 9.2 分（滿分 10 分）。由於情況危急，部分網絡安全機構建議網站管理員，如果未能立即應用修補程式，應該考慮暫時將系統離線。

漏洞詳情與潛在影響

根據預計，相關修補程式將會喺美國東部時間今日上午 10 點發布。不過，開發團隊表示，如果漏洞詳情提前公開，或者有證據顯示漏洞正被積極利用，佢哋可能會提前發布。PHP 用戶被強烈要求喺修補程式發布後「盡快升級」。

網絡安全公司 watchTowr 指出，呢啲漏洞屬於「遠端程式碼執行」（Remote Code Execution, RCE）漏洞。據報導，受影響範圍涵蓋 PHP 5 之後嘅所有版本。攻擊者可以利用呢個漏洞喺受影響嘅伺服器上運行自己嘅程式碼，從而惡意修改網站內容、盜取數據等。

受影響範圍極廣

呢次漏洞嘅影響範圍非常之大。一名安全研究員估計，全球有超過 130 萬個連接互聯網嘅主機可能受到影響。WordPress 嘅安全插件供應商 Wordfence 亦發出警告，由於所有 WordPress 網站都運行喺使用 PHP 嘅伺服器上，因此所有 WordPress 網站都會受到威脅。考慮到 WordPress 喺去年報告指出，佢驅動咗超過 40% 嘅互聯網網站，呢個數字絕對唔可以忽視。

Wordfence 另外提醒，呢個修補程式唔可以用自動更新安裝，網站擁有者必須搵出負責更新 PHP 嘅人員，手動應用修補程式。

國際機構建議與應對措施

面對這次危機，歐盟電腦緊急應變小組（European Union Computer Emergency Response Team）同英國國家網絡安全中心（National Cyber Security Centre, NCSC）均發出建議。兩者均鼓勵未能立即修補平台嘅公司，採取以下臨時措施：

• 將面向互聯網嘅應用程式與公共網絡隔離
• 喺漏洞被完全解決之前，將系統完全關閉（Offline）

行動作業系統開發商 GrapheneOS 表示，由於已經有人開發出概念證明（Proof of Concept）攻擊程式，為咗唔想冒險，佢哋已經暫時將用戶討論論壇關閉。PHP 開發者 Gina Peter Banyard 亦強調，安裝修補程式係唯一嘅解決方法，喺此之前，關閉伺服器「可能係最明智嘅做法」。

攻擊風險隨時爆發

多個網絡安全組織已經提醒 PHP 管理員做好準備。Sansec 嘅威脅研究員預測，喺修補程式發布後 15 分鐘內，就會出現「大規模攻擊」。

事實上，攻擊者並冇喺度等。Cloudflare 嘅首席技術官 Dane Knecht 表示，佢哋已經觀察到針對平台內 PHP 網站嘅早期攻擊。目前 Cloudflare 暫時更新咗防火牆規則，作為修補程式推出前嘅臨時緩衝措施。

總結

今次 PHP 漏洞由於影響版本廣泛且嚴重程度高，對全球大量網站構成威脅。對於網站管理員嚟講，最緊要係確認伺服器嘅 PHP 版本，並喺修補程式發布後立即手動更新。喺更新完成之前，根據安全機構建議，採取隔離或暫時關閉伺服器係降低風險嘅有效手段。