PHP 重大漏洞修補後：香港網站應先核對版本與排查入侵
PHP 開發團隊公布重要安全更新，修補兩個 CVSS v4.0 評分 9.2 的漏洞。iThome 報道把事件稱為「PHP2Shell」，並指漏洞可追溯至 PHP 5.4；不過，報道未列出對應 CVE、完整受影響版本範圍或官方漏洞名稱。因此，香港網站管理員不應單靠「PHP2Shell」這個稱呼判斷風險，而應以正在運行的 PHP 版本及官方安全公告為準。
事件的實際風險在於：PHP 常被用於 CMS 和自訂網頁系統，更新安排往往牽涉主機環境、外掛、相依套件及上線流程。iThome 引述日本首相高市早苗的呼籲，建議管理員預先核實網站是否使用 PHP，並在修補程式推出後立即套用；若短時間內未能修補，可考慮暫停服務等降低風險措施。報道沒有提供香港受影響網站數字，但這類核對與修補工作對本地採用 PHP 的網站及企業服務同樣直接。
已有利用報告，但細節仍須分開看
iThome 報道稱，Amazon 威脅情報團隊在公開漏洞前四日已發現疑似利用活動，並在 PHP 更新當日看到大量不同的利用嘗試，顯示可能有多組攻擊者參與。另一邊，報道亦提及 CISA 當日表示尚未觀察到漏洞遭利用，仍呼籲盡快更新。
兩種說法所依據的觀測來源和時間點未必相同，不能據此推斷所有 PHP 網站均已失陷；但對管理員而言，這已足以把事件視作「先處置、後釐清」的高優先級風險。報道亦指出，攻擊驗證本身涉及複雜步驟，不能把漏洞存在直接等同於每個站點都可被同樣方式入侵。
管理員可採取的處理次序
- 確認資產與實際版本：盤點所有對外網站、後台、容器映像及排程工作使用的 PHP 版本；同時確認管理面板或代管平台是否另有更新流程。
- 跟隨官方更新資訊修補：按 PHP 官方公告核對受影響分支和修補版本，先在可行範圍內測試，再把修補推至對外服務；不要只因網站前端正常便假定 PHP runtime 已更新。
- 檢查可疑執行跡象：iThome 引述 CISA 的建議，留意 PHP worker 處理程序是否啟動 shell 工具，以及是否出現下載特定工具等異常行為。也應保留 web server、PHP、系統及容器日誌，方便比對修補前後的活動。
- 未能即時更新時收窄暴露面：對高風險或非必要服務，評估暫停對外存取、限制管理介面來源、加強監察和啟用既有防護規則。這些屬暫緩措施，不能取代正式修補。
- 修補後復核：確認部署中的 PHP runtime 已切換至修補版本，並檢視帳戶、排程、檔案改動及對外連線有否異常；若發現可疑 shell 或未授權下載，應按事故應變程序隔離及保全證據。
對中小企的取捨
對沒有專責資安團隊的中小企，最大難處未必是下載更新，而是找出所有隱藏在舊網站、代管環境或外判維護範圍內的 PHP 實例。短暫停站會影響生意，但若無法確認修補狀態和是否存在可疑活動，繼續把高風險服務暴露在網上，風險可能更難控制。這是基於報道所述利用跡象作出的風險判斷，並非已有香港受害個案的結論。
下一步應留意 PHP 官方有否公布完整技術細節、受影響版本及 CVE 資訊，以及代管平台、CMS 供應商和外判商能否提供已修補的明確證明。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 【資安日報】10月23日，日本首相針對PHP2Shell提出警告 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
