PHP開發團隊周三發布更新，修補兩個危險評分達9.2分（滿分10分）的嚴重漏洞，黑客若加以利用可接管網絡伺服器。據估計全球近七成網站使用PHP，網絡安全及基礎設施安全局（CISA）及聯邦調查局（FBI）均促請機構立即更新。
本文核心內容：
· 關鍵實體：PHP開發團隊、網絡安全及基礎設施安全局、聯邦調查局、英國國家網絡安全中心
· 危險評分：兩個漏洞均為9.2分（滿分10分）
· 影響範圍：近七成網站使用PHP，包括佔逾四成網站的WordPress
· 官方建議：立即更新；無法即時更新應把系統下線
PHP漏洞有多危險？
PHP是推出逾30年的程式語言，雖非家喻戶曉，卻支撐大量網站及網絡應用程式，包括WordPress。PHP官方網站指，這次更新「修補兩個嚴重漏洞，可讓未經驗證的遠端人士執行程式碼」，並「強烈建議所有PHP用戶立即更新」。
網絡安全公司watchTowr周二在修補推出前已警告，漏洞「可讓攻擊者在受影響伺服器上執行自己的程式碼」。
政府機構如何回應？
網絡安全及基礎設施安全局周三表示，「強烈促請各機構立即修補PHP最近披露的嚴重漏洞」，並指截至發布時未發現漏洞被利用，但若不修補會構成風險。
聯邦調查局網絡部亦促請所有可能受影響的機構「立即更新受影響的PHP安裝」，並表示：「如無法即時更新，建議機構把系統下線，直至完全緩解為止。」英國國家網絡安全中心（National Cyber Security Centre）亦作出類似建議。
PHP團隊指，更新程式碼是唯一完整的修補方法。官方雖列出調整記憶體及上載設定等臨時措施，但這些只能減低風險，不能確保伺服器安全。
漏洞為何拖延多年才修補？
人工智能公司OpenAI周三表示，其AI模型協助研究人員發現漏洞，並稱過去兩個月牽頭聯同維護人員、研究人員及安全供應商，在披露前準備修補及防護措施，形容這是「近年影響最深遠的漏洞之一」。
PHP基金會（PHP Foundation）其後發文承認，早在2024年已有人推測存在「潛在漏洞」，但當時找不到具體攻擊途徑，加上相關專家「身兼多職」，修補工作多月來反覆停頓又重啟。基金會指，OpenAI及其他研究人員的報告令修補成為「首要任務」。近日漏洞「開始在網上論壇及社交媒體流傳」，團隊遂提前公布並推出修補。
基金會坦言：「我們不會假裝不是：這次延誤是結構性失誤。」
來源：ABC新聞（ABC News）