PHP資安漏洞潛藏逾10年 歐洲多國政府網站預防性下線

全球約7成網站使用PHP程式語言，爆發重大資安漏洞，歐洲多國政府網站、維基百科部分服務，以及銀行、交通與醫療相關網站陸續暫停服務；從法國、芬蘭，到荷蘭等國，也緊急採取防護措施。根據資安機構通報，自從漏洞公開後，駭客攻擊也從數千次暴增到數百萬次；PHP開發團隊已經發布修補程式，但由於全球仍有大量主機尚未完成更新，顯示資安攻防正在跟時間賽跑。

應用在網頁開發的後端程式語言PHP，已經有數十年的歷史，最初是為了支援動態網頁及應用程式的運作，應用範圍相當廣泛，從維基百科、電商平台，以及WordPress等內容管理系統。根據網路技術追蹤機構統計，在能辨識程式語言的網站中，約有7成使用PHP，而這次漏洞也引發廣泛的資安疑慮。

資安公司Wiz Research和Calif發現了相關漏洞，並與PHP開發團隊以及OpenAI等單位協調處理。這個漏洞讓攻擊者在不需要身分驗證的情況下，遠端執行程式碼，進一步控制受影響的伺服器，甚至竊取資料或癱瘓服務。

Calif資安公司研究員奧斯汀表示，「利用這個漏洞攻擊別人的網站，就像是闖進對方家的大門，或是突破房子的圍牆大門，攻擊者就能進一步進入屋內其他區域，他們也能在整個網路系統內自由活動，發動勒索軟體攻擊，或是進行各種非常嚴重的惡意行為。」

資安專家表示，這些漏洞在PHP的程式碼中已經潛藏超過10年，直到研究人員透過AI工具才被發現。2018年就出版過資安相關著作的日本首相高市早苗，21日率先透過Ｘ平台發文示警，呼籲各機構盡快確認網站安全並更新。

美國在內的國家資安機構也陸續發布警示，法國、德國、芬蘭和荷蘭等國政府的部分網站也採取預防性下線措施，部分網站已經在22日赴續恢復服務。

德國資安專家舒爾曼指出，「人工智慧及整體電腦科學的發展，降低了開發有效攻擊程式、利用資安漏洞發動攻擊的技術門檻，因此這些風險確實存在。我們不該、尤其是軟體供應商，更不該延後開發修補程式。」

資安專家提醒，雖然已經發布修補程式，但道高一尺、魔高一丈，駭客也能針對漏洞找出新的攻擊方法，尚未完成更新的系統仍存有風險。這場資安攻防，也考驗各國政府與企業修補漏洞以及抵禦攻擊的速度。