【一文看懂】駭客已嘗試攻擊數百萬次！PHP是什麼　為何掀起全球資安風暴？

日本與歐洲多國的政府網站週三（10/21）預防性下線，因為自21世紀初以來在全球廣泛使用的PHP程式語言，如今被人工智慧（AI）偵測出兩個已存在多年的嚴重漏洞，引發全球資安警報。美國網路基礎設施與安全服務Cloudflare表示，在相關漏洞公開後，已發現數百萬次針對全球網站的攻擊嘗試。

資安公司Wiz形容，這次發現的漏洞「與軟體史上最嚴重的漏洞齊名」。PHP開發商週三已表示，將發布修補程式；歐盟網路安全官員則警告，無法修復漏洞者應將網站下線。

這次用來找出漏洞的技術出自OpenAI。該公司表示，這項發現是「近年來影響最大的資安問題之一」。

●PHP是什麼？

英國廣播公司（BBC）指出，多數人可能沒聽過PHP（Hypertext Preprocessor的縮寫），但幾乎每天都會用到它。這種程式語言在網站背後運作，用戶開啟一個網頁時，運作PHP的伺服器會將內容組合成完整網頁，送到用戶的瀏覽器上。

路透社指出，PHP是免費且開源的程式碼，由志願者自行維護，網站擁有者鮮少直接與PHP互動。

根據網路技術追蹤機構W3Techs，在可辨識伺服器程式語言的網站中，約75%都是由PHP驅動。它是WordPress背後的引擎，約40%的網站背後都是WordPress在支持運作，包括部落格、小型企業網頁、政府入口網站、網路商店與新聞網站。維基百科（Wikipedia）也由PHP驅動。

●PHP漏洞有何風險？

在業界通用的資安漏洞評方標準CVSS v4.0中，這次發現的兩個PHP漏洞都是9.2分（滿分10分）。歐盟的資安應變團隊CERT-EU表示，這個分數表示攻擊者可「未經驗證自遠端執行程式碼」，亦即無需帳號密碼，即可透過網路在有漏洞的伺服器上執行指令。

PHP中的一個缺陷，就可讓數百萬台伺服器同時門戶洞開。誰利用了這個漏洞，誰就掌控了網站。網路主機代管業者GoDaddy表示，後果可能包括資料遭竊、網頁遭竄改，或整個系統被攻陷。

大多數小型網站的經營者通常沒有資安人員，而且往往使用共享主機，伺服器並非自己管理，甚至不知道是誰在更新PHP。WordPress的資安外掛程式Wordfence警告，平日的自動更新機制不會套用這次的修補程式。CERT-EU則建議是，受影響的網站應該先下線，而不是繼續暴露在風險中。

網路安全公司Gorilla Cyber Security執行長史班（Paul Spain）表示，PHP的漏洞讓攻擊者可輕易掌控受影響的網站伺服器，並竊取敏感資料，所有以PHP為基礎的系統都因此暴露在風險中，而AI又讓這類攻擊更加簡單迅速；他估計，受影響的網站可能多達「數百萬」。

澳洲阿得雷德大學（University of Adelaide）資安研究員史萊（Jill Slay）表示，若駭客或國家把這個漏洞當成武器，並從網站竊取私人資料，將出現「災難性」後果。

●漏洞是怎麼發現的？

資安公司Calif表示，該公司研究人員與OpenAI合作，利用OpenAI的GPT-5.6 Sol模型發現第一個漏洞，並在8月11日通報PHP。Google旗下資安公司Wiz也另行以AI模型發現這些漏洞，於8月24日通報第二個漏洞。

Wiz表示，這些發現「可與PHP史上最嚴重的漏洞齊名，甚至可說與軟體史上最嚴重的漏洞齊名」。該公司指出，這些底層缺陷已存在數十年，但必須採取許多步驟才能證明它們確實可被攻擊者利用，難度「已逼近人類研究人員在實務上所能達成的極限」。

美國政府已表示，正在跟進此事，並與聯邦機構及領先的SI（超級智慧，川普政府堅持將AI更名SI）實驗室協調，以加速發布修補程式。美國政府指出，相關發現證明美國的「SI」加強了國家安全。

●哪些網站受到影響？

Cloudflare執行長普林斯（Matthew Prince）週三表示，在相關漏洞公開後，已發現數百萬次攻擊嘗試。

從遊戲平台、政府入口網站到線上論壇都受到波及。維基百科背後的維基媒體基金會（Wikimedia）已預先讓多個系統下線。

日本多個政府、金融機構、零售業、交通運輸及汽車產業官網週三均預防性下線，涵蓋購物、支付、交通、娛樂、遊戲網站。首相高市早苗的個人官網也一度關閉，直到週四中午才恢復運作；官房長官木原稔週四上午表示，尚未收到相關損失報告。

德國數位部週三表示，聯邦資訊科技服務供應商ITZBund因發現PHP漏洞，已讓數個網站預防性下線。

法國內政部表示，已暫時讓各省政府官網預防性下線，等待這些網站所使用的PHP框架推出資安修補程式。

比利時外交部也讓旗下網站預防性下線；荷蘭鹿特丹港（Port of Rotterdam）、政府網站Overheid.nl、五大政黨、全國多家醫院的網站均下線。

芬蘭國家資訊科技中心Valtori週三以「預防措施」為由，關閉了政府的公共網路服務。