PHP 漏洞攻陷防火牆：管理者修補後仍須追查內網跳板
TechNews 科技新報報道，以色列資安公司 Dream 的研究人員發現，一場利用 PHP 漏洞的攻擊曾掃描約 1.9 萬台防火牆，並把目標收窄至台灣、美國、日本及南韓的 240 台設備；報道稱其中 25 個系統被入侵，24 台防火牆遭取得 root 權限，另有一台管理美國政府附屬機構內網 server 的系統受控。
對香港的企業、學校、機構及網站託管環境而言，重點不在於是否已有本地受害個案——目前提供資料並無此證據——而是若邊界設備本身以 PHP 提供管理或 Web 功能，一旦被攻破，原來用來分隔內外網絡的防火牆可反過來成為進入內部環境的跳板。
漏洞修補不等於事件結束
TechNews 科技新報指出，攻擊者利用被稱為「PHP2Shell」的 PHP 漏洞及 Linux 漏洞，毋須密碼或其他驗證便可遠端執行指令；不過，現有資料未列出 CVE 編號、受影響產品型號、版本範圍或 Dream 原始報告內容。因此，管理者不宜單憑「PHP2Shell」這個名稱判定設備是否安全或受影響，應向供應商核對公告、版本及修補建議。
報道所述的風險鏈值得重視：攻擊者先取得防火牆的最高權限，再從中央管理 server 取得其他防火牆的設定與憑證。換言之，若管理平面與一般內網互通，單一外露設備失守可能擴大為多部設備的信任關係失守。這是根據報道所述攻擊路徑作出的風險分析，並非已證實所有受影響機構均出現橫向移動或資料外洩。
核查應以「已被入侵」的情境安排
若設備符合供應商公布的受影響條件，或曾對外開放相關 PHP Web 介面，較穩妥的處理次序是先隔離可疑設備及保留日誌，再按供應商指示修補或重建；不要只套用更新後便立即把設備視為乾淨。
管理者可優先檢查：
- WebShell 與可疑檔案：搜尋 Web 根目錄、暫存位置及管理介面的非預期腳本、最近新增或修改的檔案，以及不明的排程或啟動項目。
- 管理帳戶及權限：比對本地帳戶、root 權限、SSH 金鑰及管理員群組是否出現未獲授權的新增項目或權限變動。
- 設定與憑證：檢視防火牆規則、遠端管理開放範圍、DNS／代理設定、VPN 與中央管理連線；若設備曾被入侵，應輪換管理密碼、API 金鑰、憑證及 SSH 金鑰，並同步檢查由該設備管理的其他裝置。
- 鑑識資料與監察：在重啟、清理或重建前保留設定備份、系統及管理日誌；其後密切追蹤異常登入、外連流量與設定變更，以判斷是否仍有持續存取。
這類事件亦突顯管理平面的隔離價值：把中央管理系統、管理介面與一般用戶網絡分開，並收窄可存取管理服務的來源，可減少單一邊界設備被攻破後的擴散面。
歸因與 AI 痕跡仍須審慎解讀
TechNews 科技新報報道提到，研究人員根據攻擊系統採用中國標準時間、使用中國聯網設備搜尋引擎等線索，懷疑攻擊者與中國組織有關。這屬研究者的初步判斷，不能視為已獲證實的攻擊歸因。
同樣地，報道提及攻擊系統留有 Claude Code 安裝痕跡，並顯示曾使用 DeepSeek 和 Kimi；這些資料至多反映該環境可能出現過相關工具或模型設定，並不足以證明特定工具參與攻擊、攻擊者身分，或其實際能力。
下一步值得留意的是供應商會否公布可核實的受影響版本與修補資訊，以及是否出現與 WebShell、設定竄改或憑證濫用相關的後續通報。在此之前，使用 PHP Web 管理介面的邊界設備及其中央管理 server，應列入較高優先級的盤點和核查範圍。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — 韓媒：台美日韓 PHP 防火牆遭入侵，發現疑似中國駭客蹤跡 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
