PHP漏洞引爆全球網安警報 對你有何影響

全球互聯網基礎架構中存在一個致命弱點，在過去幾十年裏一直未被察覺。如今，藉助人工智能（AI）技術，這一弱點終於浮出水面，並引發全球網絡安全警報。那麼，這宗引發廣泛關注的安全事件，對普通互聯網用戶有何影響呢？

周三（10月21日），研究人員披露PHP編程語言中存在的致命漏洞，美國聯邦調查局（FBI）的網絡部門也發出類似警告，令各國政府機構、企業及其它各類組織陷入一陣忙亂。

PHP是一種廣泛使用的通用腳本語言，主要面向Web開發，支撐著全球絕大多數網站。從維基百科到各類政府機構，無一例外。

雲端安全平台Wiz是發現該漏洞的公司之一，該公司估計，受影響的互聯網範圍高達「70%」。

致力於確保該語言透明度和責任制的「PHP基金會」（PHP Foundation）也表示，這些漏洞可能被惡意利用，使攻擊者能夠在未經授權的情況下訪問運行PHP的網站。

網絡安全專家進一步警告稱，隨著該漏洞的更多細節被公開，未來幾周內可能會出現一波黑客攻擊浪潮，可能使個人數據面臨風險。

其中有參與發現該漏洞的公司Calif的負責人Thai Duong在接受《每日郵報》採訪時表示：「現實情況是，普通互聯網用戶能做的事情非常有限。」

「大家需要擔心嗎？確實需要，但不必驚慌。這一問題的責任在於網站營運方、託管服務提供商以及整個網絡安全行業。」他說。

Wiz和Calif參與了「修復全球」（Patch the Planet）項目，並與OpenAI展開合作；該項目的目標正是搜尋此類核心漏洞。

以下是綜合《每日郵報》報道，介紹這場網安風暴，對你產生的潛在影響，以及你該如何應對。

甚麼是PHP？

PHP（全稱為「超文本預處理器」，Hypertext Preprocessor）是一項核心互聯網技術，自21世紀初起便在世界範圍內得到廣泛應用，已深深嵌入現代互聯網的各個角落。

每當用戶訪問網站時，PHP就會負責收集用戶所需的訊息，並在網頁上以用戶能夠閱讀的形式呈現出來。

由於PHP免費且開源，因此在政府機構和高校中尤為受歡迎。

專家將PHP中發現的漏洞比作「（建築物中）某種磚塊因存在安全隱患而被召回」，意味著大量基礎設施會受到波及，而相關所有者必須自行排查，找出薄弱環節所在。

有人遭到黑客攻擊了嗎？

目前尚不清楚是否已有網站真正遭到黑客攻擊。

但互聯網服務營運商報告稱，黑客攻擊嘗試次數有所增加；此外還有令人擔憂的跡象表明，在補丁發布之前，該漏洞就已經被利用了。

網絡安全公司Cloudflare行政總裁馬修‧普林斯（Matthew Prince）在社交平台X上寫道：「在漏洞被公開披露前的10小時內，我們在整個網絡中，監測到數千次利用該漏洞的（攻擊）嘗試。」

「在漏洞披露後45分鐘內，這一數字躍升至數萬次；兩小時內達到數十萬次；而現在已達數百萬次。」

《每日郵報》報道，英國工程技術學會（IET）網絡安全專家朱納德‧阿里（Junade Ali）博士表示：「這些新的安全漏洞非常嚴重，且已有證據表明它們正被利用。多家防火牆廠商已經部署了相應的防護措施。」

亞馬遜也表示，該漏洞正被「廣泛利用」，並報告早在10月17日，即漏洞公開披露的前四天，公司就已經遭遇針對該漏洞的攻擊。隨後，該漏洞詳細訊息於周二在社交媒體上洩露，導致亞馬遜系統在10月21日再次遭到攻擊。

亞馬遜網絡服務（AWS）首席資訊安全官CJ‧摩西（CJ Moses）在一篇博文中寫道，此次攻擊似乎是「由某個威脅主體（黑客）發起，但目前尚不清楚該主體是如何在漏洞披露前，就獲取到可利用的相關訊息」。

墨爾本大學的沙南‧科尼（Shaanan Cohney）博士表示：「如今，即使只是獲悉漏洞存在（而未掌握具體細節），攻擊者也能藉助人工智能工具，極其輕易地發現漏洞所在。」

「過去，從潛在漏洞被公布，到安全研究人員或黑客發現具體漏洞，間隔時間差足夠長，使得相關方能以負責任的方式發布漏洞公告。」他說，現在「人工智能改變了這一切；這意味著全球必須重新審視我們處理漏洞披露流程的方式」。

對你意味著甚麼？

如果你營運自己的網站，務必確保已安裝PHP補丁，這一點至關重要。

然而，即使是一般的互聯網用戶，在未來幾周內也需要保持警惕。

由於受影響的網站數量眾多，專家預計網絡犯罪和黑客攻擊行為將會增加，這可能會危及你的個人私隱訊息。

ESET全球網絡安全顧問傑克‧摩爾（Jake Moore）在接受《每日郵報》採訪時表示：「對於營運網站的人來說，建議務必確保所有存在漏洞的站點都已完成修復，並與IT管理員溝通，以確保系統安全。」

「對於普通互聯網用戶而言，應將此次事件視為一個警示：網站上的數據可能在極短時間內被竊取。因此，儘量減少向網站提供敏感訊息至關重要。」他說。

摩爾建議使用多因素身份驗證服務、通行密鑰（passkeys）以及數碼支付服務，避免將銀行卡詳細訊息直接提供給可能已被入侵的網站。

他還建議在進行網上購物時使用「訪客帳戶」，以「減少留在網站上的訊息量，防止該網站在未來某個時刻出現漏洞」。

即使網站安裝了補丁，由於該PHP漏洞深植於互聯網架構之中，網站仍可能存在風險。且大多數網站都集成了多種軟件組件、插件和第三方服務，而網站營運者對這些內容的掌控力非常有限。

只要其中任何一個組件未修復該PHP漏洞，就可能導致整個網絡系統遭到入侵。同樣，由於PHP是一款非常老舊的軟件，一些網站營運者甚至可能根本不知道自己的系統中安裝了它。

新南威爾斯大學的理查德‧巴克蘭（Richard Buckland）教授對《每日郵報》表示：「在未來幾天乃至更長一段時間裏，不要輕信你在各類網站上看到的所有內容。惡意攻擊者可能會篡改你所信任網站上的文字訊息。」

「請留意政府發布的公告。在此期間，你可以相對放心地認為，銀行和電訊營運商這類在網安方面較為成熟的機構，應該已經完成系統補丁的更新。至於其它網站，建議在未來幾天內儘量避免訪問或登錄。」他說。

攻擊者和防禦者之間 AI貓鼠遊戲仍在繼續

人工智能代理幫助發現了這些漏洞。OpenAI在一篇博文中表示，過去兩個月裏，它牽頭組織了一個由研究人員、安全提供商和其它機構組成的聯盟，共同解決PHP中的漏洞。

Wiz研究人員也表示，他們獨立地利用人工智能識別出這些漏洞。

人工智能的普及意味著，無論規模大小，許多組織現在都擁有更先進方法來主動和被動地應對安全威脅。但同時也意味著，不法份子擁有更先進的方法來大規模地利用數字漏洞。#