网安局：PHP曝两项严重安全漏洞 “切勿拖延”速安装补丁

全球广泛使用的网站编程语言PHP被曝出两项严重安全漏洞 ，新加坡网络安全局敦促本地机构“切勿拖延”，立即安装补丁将系统更新至最新版本。若暂时无法更新系统，也应参照PHP官方指引采取临时缓解措施，降低特定攻击路径带来的风险。

网安局 星期五（10月23日）晚上发布了面向网站所有者、服务提供商、系统管理员和安全团队的补充指南，相关安全补丁已于10月21日发布。

根据指南，PHP是一种广泛应用于网站及网络应用的脚本语言，这次发现的两项漏洞影响所有版本的PHP。尤其令人担忧的是，攻击者无须登录凭证即可利用受影响系统中的漏洞，进而控制网络服务器、窃取数据或中断服务。

网安局敦促所有机构立即采取行动，优先处理面向互联网的系统。该补充指南将有助于机构识别存在漏洞的PHP装置，并监测潜在漏洞是否已遭黑客利用。

本地不少企业的官方网页星期五上午9时起，开始出现异常，疑似紧急下线。例如，英康保险网站一早就出现“无法连接上网”的信息，还要求用户证明自己不是恶意机器人。

英康保险发言人星期五傍晚答复《联合早报》询问时澄清，英康保险星期五上午只是遇到技术故障，才导致部分用户无法访问官网。

“问题仅发生在特定的浏览器与设备组合上，并未影响到广大用户。公司的团队已迅速排查并解决了该问题，目前网站已完全恢复正常访问与运营。”

另一边厢，华侨银行网站及手机应用星期五下午也一度出现反应缓慢的情况，引起外界关注。华侨银行回复《联合早报》询问时指出，部分客户下午较早时间使用手机及网上银行服务时，确实遇到间歇性反应缓慢的情况，但相关服务已逐步恢复正常。

银行也强调，自动提款机及银行卡服务未受影响，客户资金安全，也没有客户资料遭到泄露。

本地烹饪学校ABC Cooking School星期四（22日）则通过网站和电邮宣布，暂停常规课程及试听课的网上预约服务，直至确认系统安全为止。

新加坡工商联合总会及新加坡餐饮业协会22日同样在脸书发出类似紧急提醒，敦促会员检查网站系统，尽快采取防护措施，切勿再拖延，尤其是那些安装了网上点餐及订位系统的机构。

网安局局长方素仪星期五也在社媒领英发文，紧急促请本地所有机构立即采取行动，应对常用网络技术PHP中发现的两项重大安全漏洞，两者合称为“PHP2Shell”。由于PHP在网站平台上普遍使用，包括那些利用WordPress、Drupal和Joomla建造的平台，许多依赖外部IT供应商的中小型企业可能尚未察觉自身正面临威胁。

网安局目前正与政府部门、关键信息基础设施所有者及业界伙伴紧密合作，加速推进补丁安装，并透过商会与技术服务商协助小企业应对。

方素仪建议运营网站或在线服务的机构即刻采取三个行动：首先，排查自身及第三方管理的系统是否使用受影响的PHP版本；第二，优先为面向互联网的系统打补丁；第三，调查系统是否有已被入侵的迹象。不确定受影响与否的企业，应尽快联系IT团队或服务商。

她强调，网络安全是共同责任，迅速行动才能防止漏洞演变为严重事故。

网安局也呼吁各机构注意，即使部分机构的主要网站并未采用PHP编写，管理员也应进一步检查网站服务器是否安装了PHP，包括排查第三方应用程序或组件是否使用这项技术。各机构也应持续关注PHP官方指南，掌握最新进展。