PHP 漏洞警報：香港網站管理員應先盤點，而非盲目下線
一宗涉及開源程式語言 PHP 的嚴重漏洞警報，令網站營運者被要求盡快套用修補；若無法即時更新，部分建議甚至是暫時下線。對使用 PHP 的企業、學校及中小企網站而言，當務之急是盤點自身環境和取得主機供應商的明確回覆。
不過，這並不等於所有 PHP 網站已受入侵，也不能據此判定香港已有受害個案。
PHP 漏洞牽涉甚麼
PHP 是長期廣泛使用的開源程式語言，常見於 WordPress、Drupal 等內容管理系統。所謂 PHP 漏洞，通常是 PHP 本身或其相關執行環境出現安全缺口，令攻擊者可能藉異常輸入或特定操作繞過預期限制，進一步嘗試入侵網站。
原文強調事件的難處在於 PHP 使用面廣，而且不少網站擁有者未必知道自己網站仍依賴 PHP。這使修補工作不只涉及開發團隊，亦涉及管理舊網站、外判系統和託管服務的機構。
先分清自己的責任範圍
網站使用 PHP，不代表必定適用這次警報中的問題；關鍵在於實際運行的 PHP 版本、主機供應商是否已處理，以及網站是否仍有自管程式和外掛。管理員可按以下次序處理：
- 向開發或主機供應商確認網站目前的 PHP 版本，以及這次安全公告是否適用。
- 要求供應商說明已提供的修補、更新安排和完成時間；自管 server 則按正式安全公告套用相應更新。
- 檢查 WordPress、Drupal 或其他以 PHP 運行的網站元件，確認其更新及相容性安排。
- 若無法在短時間內確認或修補，評估暫停高風險功能或網站服務的需要，並保留備份和事故紀錄。
對採用共享或託管主機的機構，未必能自行更新底層 PHP，供應商的回覆尤其重要。對自管 server 的團隊，則要避免只更新網站外掛，卻遺漏 PHP 執行環境本身。
AI 的角色：加快工作，不等於已自行發現漏洞
原文最初把這批漏洞歸因於大模型發現，其後已作更正：漏洞由參與 OpenAI 與 Wiz「Hack the Planet」計劃的人類研究員發現，AI 被用於利用漏洞。這個分別很重要。
較合理的解讀是，AI 和代理工具可能降低分析程式與測試漏洞利用方法的門檻，令防守方和攻擊者都能加快工作；但原文不足以證明 AI 已經獨自找出這次漏洞，更不能據此推論所有舊系統已可被 AI 大規模攻破。
TechCrunch 引述的討論亦提到，有大型機構觀察到利用嘗試增加，以及有人擔心披露消息後會形成搶攻窗口。這反映的風險是修補速度不均：資源充足的機構可較快盤點與監察，維護人手有限、系統來源不清的網站則較容易落後。
香港不少網站長期使用 PHP，但原文沒有提供香港受害資料。接下來值得觀察的，是主機供應商和開源社群會否公布可核實的版本範圍與修補指引；在此之前，確認環境和建立清楚的更新責任，已是最實際的第一步。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechCrunch — Will AI expose the rickety infrastructure of the internet? — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
