香港網絡安全事故協調中心向本港企業及機構發出警示，指出PHP安全團隊近日已緊急釋出安全更新，以修補兩個嚴重的安全漏洞。有關漏洞可遭遠端攻擊者利用來執行未經授權的程式碼，當局敦促所有受影響的PHP系統必須盡快完成修補。
資料圖片
協調中心特別提醒，這次漏洞帶來的潛在威脅並不僅限於普通的網站伺服器。現時不少企業在日常運作中使用的應用程式、網絡及保安設備、儲存以至監控系統等，其管理後台或運作元件內部都有可能內嵌了PHP。更值得留意的是，這些元件所使用的PHP版本，未必會與作業系統表面顯示的版本一致，極容易淪為企業在網絡安全管理上的防禦盲點。
因應潛在風險，協調中心呼籲各機構在檢查一般網站伺服器之餘，更應即刻展開全面盤點，涵蓋所有可能採用PHP的產品、服務及對外系統。同時，機構亦應主動聯絡各軟硬件供應商，深入確認受影響的具體範圍，並索取相應的修補安排。
圖片由生成式人工智能生成，並經專業人員監督審閱。網安中心網站圖片
協調中心進一步指出，這次事件同時反映出人工智能（AI）技術正在大幅加快網絡安全的攻防速度。公開資料顯示，相關的PHP漏洞早於2026年8月，已由安全研究人員借助AI技術率先發現，並隨即向PHP團隊作出通報以展開修補。中心就此呼籲企業必須採取多項應對措施，包括全面盤點組織內所有運行PHP的系統，特別是直接面向互聯網的伺服器，並盡快將PHP升級至已完成修補的安全版本。
人工智能協助發現一個廣泛使用的程式語言存在漏洞，導致歐美多國政府及其他機構周三暫時關閉網站，爭相進行安全更新。
聯邦調查局網絡部門警告，這些漏洞可能讓惡意行為者遙距執行程式語言PHP的程式碼。PHP支援網站及網絡應用程式運作。該機構表示，這增加了敏感數據及網絡受損的風險，並建議營運商若未能即時更新，應關閉網站。
芬蘭政府網站周三僅部分服務可用。向訪客發出的訊息指，政府網站正經歷暫時性中斷，在問題解決期間，網站將完全或部分無法使用。
網絡安全公司Arctic Wolf實驗室、威脅研究及情報副總裁伊斯梅爾·華倫蘇拉表示：「潛在影響巨大。」他補充指，在已知使用伺服器端程式語言的網站中，PHP支援約七成網站運作。
(美聯社圖片/Jenny Kane) AP圖片
華倫蘇拉補充指，這些已暴露的漏洞令「互聯網大部分商業及商務基礎設施面臨潛在風險」，雖然這不代表所有網站都存在漏洞，但這些缺陷需要「即時關注」。
PHP基金會周三表示，已發布漏洞修復程式，以及如何更新系統的說明。該基金會成員包括致力於保障程式語言安全的開發人員。
人工智能代理協助發現這些漏洞。OpenAI在網誌中表示，過去兩個月領導研究人員、安全供應商及其他機構組成的聯盟，處理PHP的漏洞。
該公司表示：「PHP的維護者主導了修復和發布工作，我們的團隊以及Wiz、Cloudflare等合作夥伴則貢獻了研究、技術支援和協調，以在披露前準備好保護措施。」
總部設於三藩市的OpenAI形容這些缺陷是「近年來最具影響力的安全問題之一」。它表示，人工智能似乎在任何攻擊者發現這些漏洞之前，就已找到它們。
OpenAI表示：「儘管這些錯誤非常重要，但它們只是我們已發現並正努力修復的數個重大漏洞之一，我們預計未來數月將會急劇增加類似的發現。」
近月來，人工智能代理被指涉及多宗備受關注的安全事故。這些事件凸顯了人工智能安全方面的漏洞，並引發外界質疑，隨著這項快速發展的技術在全球範圍內更廣泛應用，應如何安全地開發。不過，專家亦指出，人工智能也能協助發現網絡漏洞，就像這次PHP事件一樣。
網絡安全公司Illumio行業策略副總裁拉古·南達庫馬拉表示：「這裡存在一個重要的悖論。我們希望人工智能能足夠快速地發現人類可能錯過的漏洞，同時亦要確保日益自主的系統在我們理解和控制的範圍內運作。」
南達庫馬拉補充指：「人工智能發現弱點的速度越快，思考這些弱點暴露後會發生甚麼就越重要，特別是當機構無法立即修補每個受影響的系統時。這並非意味著人工智能本質上是危險或具保護性。而是指缺乏控制的速度會產生一種新型的安全問題。」
Arctic Wolf的華倫蘇拉表示，人工智能的進步亦正在改變哪些缺陷被視為「可利用的」，並指出其中一些漏洞已存在超十年。
他說：「改變的並非底層程式碼，而是發現這些弱點並將其轉化為有效利用的能力。」
（美聯社）
(美聯社圖片/Matt Rourke) AP圖片
