新聞 
幣種資訊 
關於我們 
PHP開發團隊於21日（當地時間）發布安全更新，修補兩個CVSS評分高達9.2分（滿分10分）的重大漏洞。PHP是開發網站與網路應用程式時廣泛使用的程式語言，無法立即套用更新的伺服器可能暴露在攻擊風險中，歐盟與英國的資安機關也建議業者將相關伺服器從公開網路移除或直接關閉。
PHP開發團隊於20日（當地時間）發布安全公告，說明這兩個漏洞的嚴重程度。根據The Verge的報導，更新原訂於21日上午10時（美國東部時間，台灣時間21日晚上11時）發布，隨後也確認已如期上線。
資安業者watchTowr指出，此次漏洞屬於「遠端程式碼執行」（RCE）類型，攻擊者可在未經授權的情況下於伺服器上執行任意程式碼，進而竄改網站內容或竊取資料。
受影響範圍相當廣泛。watchTowr表示，PHP 5之後的所有版本都可能受到影響；WordPress資安外掛廠商Wordfence則警告，所有架設在PHP伺服器上的WordPress網站都存在風險。
Wordfence說明，此次更新無法透過自動更新機制安裝，網站管理者必須手動套用修補程式。WordPress去年曾表示其產品占全球網路逾40%的使用率，不過這項數字僅代表WordPress本身的市占率，並不代表此次漏洞的影響範圍達到全球網路的40%以上。
歐盟電腦緊急應變小組（CERT-EU）與英國國家資安中心（NCSC）建議，若企業無法立即完成修補，應將暴露在網路上的應用程式從公開網路移除，甚至直接關閉服務。如此呼籲也顯示這次漏洞的風險程度相當高。
PHP開發者吉娜·彼得·巴尼亞德（Gina Peter Banyard）也提出類似看法。她表示修補程式是目前唯一的緩解方式，若無法完成更新，關閉伺服器可能是最穩妥的做法。
攻擊行動也已經浮現。Cloudflare（$NET）技術長戴恩·克內赫特（Dane Knecht）表示：「我們已經看到初步攻擊出現。」這意味著針對PHP網站的攻擊已經展開。Cloudflare目前持續更新防火牆規則，在修補程式全面套用前提供暫時防護。
威脅研究機構Sansec預期，大規模攻擊可能在修補程式公開後15分鐘內就會展開。通常漏洞修補公開後，攻擊者能分析程式碼差異來開發攻擊工具，因此修補公開到實際套用之間的空窗期，被視為風險最高的階段。
行動作業系統開發商GrapheneOS表示，已經有人在開發「概念性驗證」（PoC）攻擊程式，因此暫時關閉了使用者討論論壇。PoC是為證明漏洞可被實際利用而製作的示範性攻擊程式碼。
在台灣經營PHP相關網站的業者，也有必要立即透過主機服務商或開發負責人，確認修補程式是否已經套用。
留言 0