PHP是什麼？為何它引發全球網絡安全危機？

• • Author, 莉芙·麥克馬洪（Liv McMahon）
  • Role, BBC科技記者
  • Author, 謝全恩（Osmond Chia）
  • Role, BBC商業記者

• Published 13 分鐘前

• 閱讀時間: 4 分鐘

十多年來，支撐互聯網大量網站運作的技術，一直存在嚴重安全漏洞，卻始終未被發現。

直到人工智能（AI）揭露這些漏洞，才引發全球網絡安全警報。

這些漏洞存在於一種名為PHP的程式語言。自2000年代以來，全球各地一直廣泛使用PHP建立網站。

自周三（10月21日）漏洞曝光以來，世界各地的政府和網絡安全機構正緊急採取措施控制影響，敦促網站營運者安裝最新推出的緊急修補程式，否則應考慮暫時關閉網站。

參與發現漏洞的網絡安全公司Wiz形容，這是迄今由AI發現的「最嚴重」安全漏洞。

協助找出漏洞的技術來自OpenAI。該公司稱，這次發現是「近年影響最深遠的網絡安全問題之一」。

PHP是什麼？

大多數人可能從未聽過PHP，但他們很可能每天都在使用這項技術。

PHP的全稱是「超文字預處理器」（Hypertext Preprocessor），是一種在網頁伺服器上執行的開放原始碼後端程式語言。

PHP於1990年代初開發，目的是協助建立動態網頁和網絡應用程式。時至今日，它仍被廣泛使用，包括維基百科（Wikipedia）、網上商店，以及許多網站採用的內容管理系統WordPress。

當你瀏覽網站時，PHP程式會負責取得資料，並將其轉化為你能夠閱讀的網頁。

PHP亦被用來開發多種工具，協助建立網絡應用程式或加快開發速度。Laravel、Symfony和Drupal都是廣泛使用的PHP開發框架或工具。

協助發現本周重大PHP漏洞的網絡安全公司Wiz指出，全球70%的網站都使用PHP。

PHP由非牟利組織PHP基金會（PHP Foundation）維護。該組織由依賴PHP的個人和企業組成，致力確保這種程式語言能夠「長遠持續發展」。

漏洞是什麼？

多名網絡安全研究人員及機構本周披露，PHP存在兩個安全漏洞。他們警告，這些漏洞可能對全球網站造成重大衝擊。

網絡安全公司Wiz和Calif表示，這些被統稱為「php2shell」的漏洞存在於PHP程式語言本身，過去十多年推出的多個PHP版本都受到影響。

協助發現漏洞的Calif研究員瑞安·奧斯汀（Ryan Austin）告訴BBC，這是「我發現過最嚴重的安全漏洞」。

Wiz在一篇介紹研究結果的網誌文章中指出，在特定條件下，黑客可以利用php2shell漏洞控制受影響的網頁伺服器，並竊取敏感資料。這意味著所有以受影響PHP版本建立的網站都可能面臨風險。

Gorilla Cyber Security行政總裁保羅·斯佩恩（Paul Spain）告訴BBC，AI亦可能讓黑客更容易、更快速地發動這類攻擊。

他估計，這些漏洞可能影響「數以百萬計」的網站。

阿德萊德大學（University of Adelaide）網絡安全研究員吉爾·斯萊（Jill Slay）表示，如果黑客或國家利用這些漏洞發動攻擊，從網站竊取私人資料，後果將會是「災難性」的。

哪些網站受到影響？

這次安全警報已令全球多項網上服務受到干擾，範圍涵蓋遊戲平台、政府網站及網上論壇。

受影響的包括維基媒體基金會（Wikimedia），即網上百科全書維基百科背後的組織。該基金會為防範風險，已暫時關閉旗下多個系統。

芬蘭政府、英國愛丁堡市議會及BBC均有部分網站或網頁暫停運作，荷蘭網絡安全機構亦關閉了其網站。

蘇格蘭多個公共機構，包括地方議會及醫療衛生部門，亦已暫時關閉網站。

部分專家警告，缺乏妥善維護的網站可能面臨更高風險，尤其是網絡安全資源有限的小型機構。

新南威爾斯大學（UNSW）網絡安全研究員薩利爾·坎赫雷（Salil Kanhere）表示，隨着漏洞的技術細節陸續公開，未來幾周可能會有更多人嘗試利用這些漏洞發動攻擊。

漏洞曝光後發生了什麼事？

PHP基金會周三推出安全修補程式，修復多年來一直存在於PHP軟件中的漏洞。

該組織表示：「強烈建議所有PHP用戶立即更新。」

世界各地的政府及網絡安全機構亦發出類似警告，敦促網站營運者採取措施，確保平台安全。

美國國家安全局（NSA）要求所有使用PHP的機構，如果無法立即安裝修補程式，便應暫時關閉相關系統。該局指出，這些漏洞可能讓黑客「直接入侵」系統資料庫。

該局表示：「這些風險的嚴重程度，足以要求美國政府所有部門及機構立即安裝修補程式。」

英國國家網絡安全中心（NCSC）亦提出類似建議，並要求機構檢查系統是否存在「攻擊者安裝的後門程式」。

歐盟、新加坡和澳洲的相關網絡安全機構也發布了類似警報。

日本首相高市早苗呼籲民眾檢查其公開網站是否使用PHP。

高市早苗在社交平台X發文表示：「我們緊急呼籲所有人在今晚採取行動。」

她說：「如果難以及時安裝修補程式，可以考慮暫時關閉網站等措施，這也是降低風險的有效方法。」

科技公司亦正設法迅速加強系統安全。

電子商務巨頭亞馬遜（Amazon）表示，在PHP漏洞公開披露的數天前，公司已遭遇多次針對這些漏洞的攻擊嘗試，但旗下網站一直正常運作。

網絡基礎設施公司Cloudflare行政總裁馬修·普林斯（Matthew Prince）亦表示，在漏洞正式公布前10小時，該公司的網絡已錄得「數千次」利用PHP漏洞的攻擊嘗試。

他在X發文表示：「公布後45分鐘內，數字躍升至數萬次；兩小時內增至數十萬次；現在更已達數百萬次。」

AI如何協助發現漏洞？

發現這些漏洞的Calif和Wiz研究人員使用了先進的AI工具，能夠分析程式碼，並以遠快於人類或舊式系統的速度找出漏洞。

坎赫雷表示：「現代軟件極其複雜，有些漏洞可能多年來都未被察覺。」

他說：「程式本身的錯誤並不是新出現的，改變的是我們發現錯誤的能力。」

這次發現的細節本周在網上外洩，迫使PHP開發人員倉促提前公布安全漏洞及其影響的龐大範圍。

OpenAI在網誌文章中表示，這次事件「凸顯AI如何能夠發現安全漏洞」，但同時亦顯示，AI可以「協助攻擊者迅速開發攻擊工具及利用漏洞的方法」。

這家ChatGPT開發商表示，已推出一款工具，協助檢查PHP平台是否安全。

昆士蘭大學（University of Queensland）網絡研究中心的瑞安·高（Ryan Ko）表示：「許多這類漏洞都源於過去開發軟件的方式。當時開發人員主要着眼於軟件功能，而沒有充分考慮安全問題。」

這對你有什麼影響？

這些漏洞涉及網站後端及網頁開發流程，一般用戶不會直接接觸，因此大多數人毋須採取任何行動。

不過，擁有網站的小型企業，包括使用WordPress建立網站的商戶，可能會想知道如何保護自己。

網絡安全專家敦促擁有網站或管理PHP相關系統的人士，更新至最新版本，以確保網站安全。

多年來一直致力尋找電腦系統安全漏洞的道德黑客肯·芒羅（Ken Munro）表示，安裝安全修補程式的過程「有點像更新Windows」。

如果你的網站由網站寄存服務公司或網頁開發人員管理，應聯絡他們，確認是否已安裝PHP安全修補程式。這些修補程式必須直接安裝在PHP本身，單靠更新WordPress或其外掛程式，並不能解決問題。

如果你自行管理網站，芒羅表示，「你有責任確保已安裝修補程式」。

英國國家網絡安全中心建議，如果無法及時安裝更新或採取臨時防護措施，應考慮暫時關閉網站。

美國國家安全局亦呼籲各界在未來幾周「提高警覺」，密切留意軟件供應商發布的更新資訊。

該局表示：「對相關系統保持警覺，並及時安裝修補程式，至關重要。」

坎赫雷表示，雖然保障網站安全的責任主要落在網站營運者身上，但一般用戶亦應留意受影響服務發出的安全建議，例如要求更改密碼的通知。