PHP兩大高危漏洞觸發全球警報 歐洲政府網站急下線
SingTao · 2 SOURCESabout 4 hours ago5 MIN
Summary
全球常用的伺服器端程式語言PHP，近日被揭發兩項高危保安漏洞，令多國政府及網絡安全機構同步發出緊急警報。 由於漏洞可在應用程式碼尚未開始運行前，透過未經驗證的網頁請求觸發，荷蘭已把多個公共服務網站預防性下線，芬蘭亦暫停政府公共網絡服務，事件迅速由技術圈擴散至公共服務層面。
Key Points
- 兩項漏洞編號為CVE-2026-109618及CVE-2026-109619，嚴重程度評分同為9.2分，涉及記憶體處理及內部狀態管理問題，可讓未經身分驗證的攻擊者遠端執行程式碼。
- PHP官方表示，所有處理網頁請求的PHP安裝都要重新評估風險，其中Apache配合mod_php的部署方式風險最高；已展示的攻擊更可在應用程式碼啟動前被觸發。
- 官方已推出PHP 8.5.12、8.4.27、8.3.36及8.2.35修補版本；至於PHP 8.1及更舊分支，已停止常規官方支援，用戶需向供應商確認補丁或安排升級。
- 荷蘭政府在當地時間10月21日下午公布，多個公共服務網站預防性下線，包括電子身分認證服務DigiD、政府個人服務平台MijnOverheid、Overheid.nl，以及荷蘭國家網絡安全中心網站。
- 本港資訊科技商會榮譽會長方保僑提醒，網站管理員及企業資訊科技團隊應立即盤點系統、安裝修補程式；若短期內無法完成修復，應果斷暫停開放或切換至維護模式。
Why It Matters
對香港機構而言，風險不只在一般網站。日本資訊處理推進機構提醒，PHP亦可能嵌入軟件產品及網絡設備，若只檢查門面網站而忽略後端系統，盤點便可能出現漏洞。 再加上Cloudflare已觀察到早期攻擊，意味漏洞資料公開後，攻擊者未必會給營運者太多緩衝時間。
今次事件之所以引起全球高度戒備，除了漏洞本身評分高，更因為其攻擊條件相對直接。PHP官方指出，所有處理網頁請求的安裝都應評估風險，而Apache配合mod_php的配置尤其危險，因為攻擊可透過未經驗證的請求，在應用程式碼開始運行前便被觸發。 這代表即使網站前端看似正常，若底層環境未更新，仍可能在使用者毫不察覺下遭入侵。
歐洲多國政府的反應亦反映事件並非單純商業網站事故。荷蘭政府確認，多個公共服務網站已預防性停止服務，當中包括DigiD、MijnOverheid及Overheid.nl，連荷蘭國家網絡安全中心自身網站亦一度暫停開放。 荷蘭當局在10月21日下午表示，當時未發現漏洞遭主動利用的迹象，但仍建議網站負責人先評估風險，有需要時先下線，待更新推出後盡快安裝。 芬蘭亦採取預防措施，暫停政府公共網絡服務。
除荷蘭與芬蘭外，英國國家網絡安全中心、歐盟電腦保安事故應變組織CERT-EU、澳洲網絡安全中心、德國聯邦資訊安全辦公室及斯洛伐克SK-CERT都已發出警報，要求相關機構盡快修補。 CERT-EU更明言，若未能及時完成更新，應考慮把對外應用程式與公共網絡隔離，待安裝修補及完成驗證後才恢復服務。 官方亦強調，臨時緩解措施只能降低部分攻擊途徑風險，不能視作完整修復，真正有效的方法仍是更新版本。
在香港層面，方保僑的建議相當直接。他指出，PHP可視為網站幕後的「大腦與處理器」，一旦出現這類高危漏洞，黑客有機會在未經授權下掌控伺服器。 因此，網站管理員與企業資訊科技團隊的首要工作，是盡快完成系統盤點，確認哪些網站、服務、軟件產品或設備正在使用受影響版本，並按官方及服務供應商指引安裝修補程式。 若網站架構複雜，短期內無法升級，便不應心存僥倖，而應暫停開放或切換至維護模式。
值得留意的是，部分風險未必來自機構主動維護的網站。日本資訊處理推進機構提醒，PHP除了用於網站，亦可能嵌入其他軟件產品及網絡設備，機構應在可行情況下盤點使用情況，並留意供應商公告。 對仍使用已停止支援舊版本的網站而言，風險更高，因為漏洞資料一旦公開，攻擊者可能在極短時間內發動攻擊。 另一方面，今次漏洞由研究人員利用人工智能協助揭發，亦令外界再度關注AI在加快尋找漏洞與加速攻擊工具開發之間的雙重作用。
目前，美國白宮表示，聯邦機構正評估事件對政府系統及關鍵基礎設施的潛在影響。 至於漏洞是否已被實際利用，路透社引述Cloudflare稱，已看到早期攻擊出現。 這意味對仍未更新的機構而言，現階段已不是單純「留意」問題，而是要盡快完成修補、隔離或暫停服務的執行問題。
今次事件之所以引起全球高度戒備，除了漏洞本身評分高，更因為其攻擊條件相對直接。PHP官方指出，所有處理網頁請求的安裝都應評估風險，而Apache配合mod_php的配置尤其危險，因為攻擊可透過未經驗證的請求，在應用程式碼開始運行前便被觸發。 這代表即使網站前端看似正常，若底層環境未更新，仍可能在使用者毫不察覺下遭入侵。
歐洲多國政府的反應亦反映事件並非單純商業網站事故。荷蘭政府確認，多個公共服務網站已預防性停止服務，當中包括DigiD、MijnOverheid及Overheid.nl，連荷蘭國家網絡安全中心自身網站亦一度暫停開放。 荷蘭當局在10月21日下午表示，當時未發現漏洞遭主動利用的迹象，但仍建議網站負責人先評估風險，有需要時先下線，待更新推出後盡快安裝。 芬蘭亦採取預防措施，暫停政府公共網絡服務。
除荷蘭與芬蘭外，英國國家網絡安全中心、歐盟電腦保安事故應變組織CERT-EU、澳洲網絡安全中心、德國聯邦資訊安全辦公室及斯洛伐克SK-CERT都已發出警報，要求相關機構盡快修補。 CERT-EU更明言，若未能及時完成更新，應考慮把對外應用程式與公共網絡隔離，待安裝修補及完成驗證後才恢復服務。 官方亦強調，臨時緩解措施只能降低部分攻擊途徑風險，不能視作完整修復，真正有效的方法仍是更新版本。
在香港層面，方保僑的建議相當直接。他指出，PHP可視為網站幕後的「大腦與處理器」，一旦出現這類高危漏洞，黑客有機會在未經授權下掌控伺服器。 因此，網站管理員與企業資訊科技團隊的首要工作，是盡快完成系統盤點，確認哪些網站、服務、軟件產品或設備正在使用受影響版本，並按官方及服務供應商指引安裝修補程式。 若網站架構複雜，短期內無法升級，便不應心存僥倖，而應暫停開放或切換至維護模式。
值得留意的是，部分風險未必來自機構主動維護的網站。日本資訊處理推進機構提醒，PHP除了用於網站，亦可能嵌入其他軟件產品及網絡設備，機構應在可行情況下盤點使用情況，並留意供應商公告。 對仍使用已停止支援舊版本的網站而言，風險更高，因為漏洞資料一旦公開，攻擊者可能在極短時間內發動攻擊。 另一方面，今次漏洞由研究人員利用人工智能協助揭發，亦令外界再度關注AI在加快尋找漏洞與加速攻擊工具開發之間的雙重作用。
目前，美國白宮表示，聯邦機構正評估事件對政府系統及關鍵基礎設施的潛在影響。 至於漏洞是否已被實際利用，路透社引述Cloudflare稱，已看到早期攻擊出現。 這意味對仍未更新的機構而言，現階段已不是單純「留意」問題，而是要盡快完成修補、隔離或暫停服務的執行問題。