香港网络安全事故协调中心：PHP漏洞风险极高 建议机构立即套用修补程式

广泛支撑全球大量网站的程式语言PHP爆出严重保安漏洞。资料图片

【橙讯】广泛支撑全球大量网站的程式语言PHP爆出严重保安漏洞，黑客可在程式代码运行前实施遥距控制，事件引发业界高度警觉，多国政府网站已经紧急下线防御。香港网络安全事故协调中心发出公告，指相关漏洞的风险极高，建议各机构立即为所有受影响的资产套用修补程式。若无法即时修补，应考虑将面向互联网的应用程式与公共网络隔离，直至安全修补程式已套用并完成验证。

中心表示，PHP 是全球广泛使用的伺服器端程式语言，支援大量网站，包括使用WordPress、Joomla及Drupal等内容管理系统（CMS）的网站。根据公开资料，PHP的应用覆盖全球超过75%的网站。根据 VirusTotal 估算，全球有超过 510 万部 PHP 主机连接互联网，当中约 380 万部开放至少一个连接埠，令相关漏洞成为攻击者的主要目标。

中心特别提醒指，今次漏洞的潜在风险并不限于一般网站伺服器。不少企业日常使用的应用程式、网络及保安设备、储存及监控系统等，其管理后台或运作元件亦可能内嵌PHP，而相关PHP版本未必与作业系统所显示的版本一致，容易成为企业网络安全管理的盲点。机构除了检查网站伺服器，更应立即全面盘点所有可能使用PHP的产品、服务及对外系统，并主动向供应商确认受影响范围及修补安排。

网络安全事故协调中心特别提醒指，今次漏洞的潜在风险并不限于一般网站伺服器。

中心亦指出，今次事件亦反映人工智能正加快网络安全的攻防速度。根据公开资料，相关PHP漏洞早于2026年8月已由安全研究人员运用AI技术发现，并通报PHP团队进行修补。随着漏洞资料公布，多家网络安全机构亦侦测到针对相关PHP漏洞的大规模扫描及攻击行为。

此外，中心又指，AI工具正降低漏洞分析及概念验证程式码开发的技术门槛。当漏洞技术细节公开后，攻击者亦可能更迅速开发攻击工具，令由漏洞披露、扫描至尝试利用的应变时间进一步缩短。企业过往待安全更新发布后才逐步安排修补的做法，将面临更大风险。

中心提醒企业，盘点范围不能只停留于「网站用了甚么版本的PHP」。部分网络设备、保安产品、储存设备、监控平台及其他企业应用系统，可能在管理介面或内部元件使用PHP。相关元件如没有纳入日常软件资产及漏洞管理清单，即使主要伺服器已完成更新，亦可能遗留安全风险。

图：香港网络安全事故协调中心