AI 加快找漏洞：PHP 風險未明前，網站維運應先做甚麼
澳洲通訊局（ASD）警告，AI 正令犯罪集團及具國家背景的駭客更快發現並利用漏洞，攻擊的規模、速度與複雜度均上升。TechNews 科技新報 報道，ASD 過去一年發出的潛在惡意活動警告超過 4,400 次，按年增加 80%。
同一報道提到，各地正處理 PHP 的重大安全漏洞，並稱該漏洞由 OpenAI 旗下模型發現。這對依賴 PHP 維持網站、會員系統、網上表格或其他服務的機構尤其敏感：漏洞一旦可被遙距利用，風險未必只限於單一網頁，亦可能延伸至帳戶資料、後台權限與服務可用性。
不過，現有報道沒有列出漏洞的 CVE 編號、受影響 PHP 版本、漏洞成因、利用條件或官方修補版本。因此，「由 OpenAI 模型發現」及實際攻擊情況仍需要 PHP 官方公告、CVE 資料庫和資安機構通報獨立核實。在資料未齊前，不宜把它描述為已證實影響所有 PHP 網站的事故，也不應把澳洲的告警數字直接套用到香港。
AI 改變的是漏洞處理的時間差
報道所指的核心問題，不只是 AI 能否寫出攻擊程式。當模型能協助整理程式碼、分析錯誤行為、生成測試案例和快速重複驗證時，攻擊者由發現問題到嘗試利用的時間可能縮短；防守方若仍靠人工盤點資產、等待例行更新，修補窗口便會變得更窄。
這也是 PHP 相關消息值得網站營運者留意的原因。PHP 本身廣泛用於網站服務，但真正暴露面通常還包括 PHP 版本、所用框架或內容管理系統、外掛、server 設定，以及部署流程。即使最終證實漏洞只影響特定版本或配置，未有完整資產清單的團隊仍可能難以迅速判斷是否受影響。
現階段可做的自查與緩解
在等待可核實的技術公告期間，管理員可先完成不依賴特定 CVE 的基本工作：
- 盤點所有對外 PHP 服務，記錄 PHP 版本、作業系統、框架、內容管理系統與主要外掛。
- 檢查 PHP 與相關套件是否仍在支援期，按正式供應商公告安排更新；更新前先備份並在測試環境驗證相容性。
- 收緊後台及維運入口：啟用多重驗證、移除不再使用的帳戶與權限，限制管理介面的存取來源。
- 檢視 server、應用程式和登入紀錄，留意異常帳戶活動、可疑檔案改動、突發錯誤或不尋常流量；保留足夠日誌以便追查。
- 確認離線或不可隨意改寫的備份可還原，並預先訂好停用受影響功能、回復服務及通知用戶的流程。
對網站團隊而言，這應落實為持續的修補管理，而非在重大新聞出現後才臨時救火。
下一步要觀察的是 PHP 官方與可信資安通報會否公布 CVE、版本範圍和可操作的緩解措施。資料一旦明確，機構便應按自身資產清單優先處理面向公網、承載敏感資料或難以快速復原的服務。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — 澳洲稱 AI 威脅前所未見，惡意活動警告年增 8 成 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
