全球網站近日爆發重大資安危機！廣泛應用於維基百科、購物網站及各類網路平台的程式語言PHP，被揭露存在兩項重大安全漏洞，可能讓駭客不用密碼便能遠端控制網站伺服器，甚至竊取敏感資料。由於全球約70%的網站使用PHP，各國政府及資安機構緊急發布警告，部分政府、醫療機構及大型網站更預防性下線。
PHP是什麼？全球約70%網站使用此技術
據《BBC》報導，PHP全名為「PHP：超文字預處理器」（PHP: Hypertext Preprocessor），是一種開放原始碼的網站後端程式語言，主要負責處理使用者看不見的網站運作流程。當民眾開啟新聞網站、瀏覽維基百科或在購物平台選購商品時，PHP便可能在伺服器端讀取資料，產生使用者看到的網頁內容。
PHP自1990年代問世以來，已成為全球網站的重要基礎技術，包括維基百科、WordPress架設的網站，以及許多網路商店都使用PHP。資安公司Wiz指出，全球約70%的網站採用這項技術，也讓PHP本身的安全漏洞可能波及數百萬個網站。
漏洞有多嚴重？駭客恐不需密碼就能入侵
這次被揭露的兩項漏洞統稱為「PHP2Shell」，存在於PHP程式語言本身，過去10年間發布的多個版本都受到影響。資安公司Wiz與Calif指出，駭客在特定條件下可能利用漏洞繞過正常驗證程序，直接在網站伺服器上執行惡意程式，進一步控制系統、竊取敏感資料，甚至對網站使用者發動攻擊。
Calif資安研究員奧斯汀（Ryan Austin）向《BBC》表示，這是他至今發現最嚴重的安全漏洞。Wiz則形容，這是目前由人工智慧（AI）發現最嚴重的漏洞之一。由於問題存在於PHP底層程式，即使網站本身沒有明顯異常，也可能面臨風險。
為何全球政府、醫院及大型網站緊急關站？
漏洞曝光後，全球多個網站陸續採取預防措施。維基百科所屬的維基媒體基金會暫時關閉部分系統，芬蘭政府、荷蘭資安機構、瑞士日內瓦大學及英國部分地方政府與醫療機構，也有網站暫停服務。
View this post on Twitter
日本首相高市早苗則透過社群平台X緊急呼籲，網站管理者應立即確認是否使用PHP，若無法迅速安裝修補程式，可考慮暫時關閉網站降低風險。美國國家安全局與英國國家網路安全中心也發布類似警告，要求相關機構儘速更新，並檢查是否遭駭客植入後門程式。這些網站暫時下線，並不代表已經遭到入侵。
AI挖出多年隱藏漏洞 一般民眾需要擔心嗎？
這次漏洞由資安公司Calif與Wiz的研究人員借助AI工具發現，顯示人工智慧已能協助分析複雜程式碼，找出長年未被察覺的安全缺陷。不過，AI也可能讓駭客更快開發攻擊工具。Cloudflare執行長普林斯（Matthew Prince）指出，漏洞公開後，網路上的攻擊嘗試迅速增加，累積數量已達數百萬次。
View this post on Twitter
對一般民眾而言，由於漏洞主要影響網站後端系統，通常不需要自行安裝修補程式，但應留意常用網站的安全通知，並防範假借資安事件發送的網路釣魚訊息。網站經營者則須確認PHP本身已更新至安全版本，單純更新WordPress或外掛程式並不足夠。資安專家提醒，隨著漏洞技術細節公開，未來幾週仍可能出現更多攻擊嘗試。
评论 (0)