程式語言PHP重大資安漏洞 引發全球關站潮 重點一次看

瑞士日內瓦大學網站因應歐盟電腦緊急應變小組（CERT-EU）呼籲，在發現資安漏洞後暫時關站。PHP程式語言出現漏洞，可能讓駭客控制伺服器。全球約七成網站及其承載的應用程式使用PHP。（歐新社）

AI摘要 文章摘要整理： PHP爆出2項CVSS 9.2重大漏洞後，全球已出現攻擊與預防性關站潮，亞洲、歐洲多國政府與企業急忙修補，網站經營者須查明版本與代管狀況。

PHP爆出2項CVSS 9.2重大漏洞後，全球已出現攻擊與預防性關站潮，亞洲、歐洲多國政府與企業急忙修補，網站經營者須查明版本與代管狀況。

廣泛使用的程式語言PHP出現兩項重大資安漏洞，修補程式雖已發布， 駭客 也已展開攻擊，促使亞洲和歐美政府、企業加緊修補，部分網站預防性暫停服務。台灣資安機構也已發布警告。這波事件不代表所有關站網站都已遭駭，但網站業者不能只等平常的自動更新。

一、最新進展：修補程式已發布 攻擊也已出現

PHP開發團隊周三發布緊急修補程式，呼籲用戶立即更新。全球資安機構也建議，無法及時修補的受影響網站，應先暫停服務。

亞馬遜 說，10月17日、也就是漏洞公開前四天，就在誘捕駭客的「蜜罐」系統偵測到攻擊嘗試。周三公開前，又有不同攻擊者接連嘗試。亞馬遜尚不確定這些攻擊若針對真實網站，是否能夠得逞，但表示漏洞如今已遭廣泛利用。

專家擔心，修補程式公開後，駭客可藉AI分析漏洞，加快攻擊尚未更新的網站。

二、漏洞有多嚴重？不用帳號密碼，就可能控制伺服器

兩項漏洞在CVSS 4.0風險評分中均達9.2分，滿分為10分。歐盟資安應變小組CERT-EU說，駭客可能無須登入，就能透過網路在有漏洞的伺服器上執行程式。

網站代管業者GoDaddy說，後果可能包括資料遭竊、網頁遭竄改，甚至整套系統被入侵。

不過，網站是否受到影響，仍須確認使用的PHP版本、系統設定和防護措施，不能把使用PHP直接等同已遭駭。

PHP是網站後端使用的程式語言。使用者開啟網頁時，伺服器透過PHP組合內容，再將完成的頁面傳給瀏覽器。它是免費、開放原始碼的軟體，由志工維護，網站經營者往往不會直接操作。

依W3Techs資料，在能辨識後端程式語言的網站中，約七成至四分之三使用PHP。這不等於所有網站的占比。

全球約四成網站採用的WordPress，主要以PHP編寫；Drupal、Joomla和Magento等平台也使用PHP，因此漏洞影響廣泛。

日本首相高市早苗周三晚間呼籲企業盡快修補，若難以及時更新，可考慮暫停網站或其他服務。

日本企業紛紛採取預防措施，全日空暫停網站和App服務，包括Apple Wallet登機證。野村、三菱日聯金融集團和部分地方銀行暫停非核心服務； 朝日集團暫停部分網站和系統，京阪控股關閉網站；世嘉和萬代南夢宮對部分網站進行緊急維護。

台灣、香港和新加坡資安機構也已發布警告和因應建議。澳洲部分政府網站在修補期間暫停服務；阿里雲和騰訊雲則要求客戶盡快更新PHP。

荷蘭國家資安中心本身也預防性關站，鹿特丹港、政府入口網站、足球協會、五大政黨及部分醫院網站跟進。

芬蘭政府公共網路服務預防性下線；法國內政部將旗下所有網站轉入預防性維護。丹麥也暫停部分服務，包括全國學校通訊平台。

維基百科營運單位暫停部分支援系統，網際網路檔案館也曾短暫下線處理問題。這些措施不代表相關網站已遭入侵。

六、WordPress自動更新就夠了嗎？

不一定。WordPress資安外掛業者Wordfence警告，一般自動更新不會完成這次PHP修補。網站經營者須確認由誰管理伺服器、是否使用受影響版本，以及代管業者是否已完成更新。

WordPress.com營運商Automattic表示，使用該公司網站代管服務的用戶，以及Tumblr用戶，都不受這次漏洞影響。至於自行架站，或由其他業者代管的WordPress網站，則須另行確認是否安全。

缺乏專職資安人員、又無法直接管理伺服器的小型網站，尤其需要向代管業者確認。

美國資安業者Calif和Alphabet旗下Wiz，分別藉助AI發現漏洞，再和PHP團隊協調修補。Calif說，8月1日發現問題，8月11日通報；Wiz則在8月24日通報第二項漏洞。

這些問題潛藏逾十年，過去要證明並利用漏洞，須完成極複雜的步驟。AI讓研究人員更容易找出漏洞，也讓駭客更容易利用漏洞發動攻擊。

蒙納許大學學者Rashina Hoda另提醒，詐騙和網路釣魚攻擊可能隨之增加。

精華 FAQ Q1：PHP這次爆出的漏洞有多嚴重，為何引發全球警戒？ 兩項漏洞在CVSS 4.0都達9.2分，可能讓攻擊者無須帳密就遠端執行程式並控制伺服器。由於PHP廣泛用於WordPress等網站，影響範圍因此非常大。 Q2：為什麼有些網站會先暫停服務，而不是等自動更新？ 因為修補程式已發布，但攻擊也已開始，若短時間內無法完成修補，關站可先降低被入侵風險。這不代表網站已遭駭，只是預防性措施。 Q3：WordPress網站使用者應該如何確認自己是否安全？ 不能只靠一般自動更新，必須確認伺服器由誰管理、是否使用受影響的PHP版本，以及代管業者是否已完成更新。若是自行架站或其他業者代管，更要主動查證。

Q1：PHP這次爆出的漏洞有多嚴重，為何引發全球警戒？ 兩項漏洞在CVSS 4.0都達9.2分，可能讓攻擊者無須帳密就遠端執行程式並控制伺服器。由於PHP廣泛用於WordPress等網站，影響範圍因此非常大。

Q1：PHP這次爆出的漏洞有多嚴重，為何引發全球警戒？

兩項漏洞在CVSS 4.0都達9.2分，可能讓攻擊者無須帳密就遠端執行程式並控制伺服器。由於PHP廣泛用於WordPress等網站，影響範圍因此非常大。

Q2：為什麼有些網站會先暫停服務，而不是等自動更新？ 因為修補程式已發布，但攻擊也已開始，若短時間內無法完成修補，關站可先降低被入侵風險。這不代表網站已遭駭，只是預防性措施。

Q2：為什麼有些網站會先暫停服務，而不是等自動更新？

因為修補程式已發布，但攻擊也已開始，若短時間內無法完成修補，關站可先降低被入侵風險。這不代表網站已遭駭，只是預防性措施。

Q3：WordPress網站使用者應該如何確認自己是否安全？ 不能只靠一般自動更新，必須確認伺服器由誰管理、是否使用受影響的PHP版本，以及代管業者是否已完成更新。若是自行架站或其他業者代管，更要主動查證。

Q3：WordPress網站使用者應該如何確認自己是否安全？

不能只靠一般自動更新，必須確認伺服器由誰管理、是否使用受影響的PHP版本，以及代管業者是否已完成更新。若是自行架站或其他業者代管，更要主動查證。

麵包恐害你加速顯老 營養師點名小心6款 焦香酥脆最易踩地雷