PHP 基金會承認「結構性失敗」導致關鍵安全修補延遲

PHP 基金會承認，因決策遲疑與資源短缺，延誤修復 2024 年初即被發現的嚴重安全漏洞，並稱此停滯回應為「結構性失敗」。

全球各國政府機構及其他組織於週三暫停網站運作以資防範，同時 PHP 發布緊急修補程式，針對兩個相關的嚴重漏洞進行修復；這些漏洞可能讓未經身份驗證的攻擊者無需登入即可在受影響伺服器上執行程式碼。

PHP 是一種廣泛用於建構網站與網路應用程式的程式語言，包括內容管理系統亦多採用。

基金會於修補程式發布後的部落格文章中說明：開發人員早在 2024 年即發現該漏洞跡象，但苦於難以提出不破壞龐大 PHP 生態系軟體的解決方案。

基金會表示：「加上當時尚無已知遠端程式碼執行路徑，且具備引擎核心深度知識的核心開發團隊規模極小、身兼多重職責，致使修復決策過程反覆停滯與重啟，歷時數月。」

「我們不否認：此次延遲屬結構性失敗，源於安全團隊的決策流程與資源匱乏雙重因素。」

8 月 11 日，資安公司 Calif 與 OpenAI 各自獨立通報同一根本問題後，基金會再度接獲該漏洞通報；Calif 更展示無條件遠端程式碼執行能力，使其躍升為最高優先級安全威脅。

網站因 PHP 安全危機而陸續關站

全球開發人員為準備安裝緊急修補程式，紛紛下線網站，造成廣泛服務中斷。

荷蘭關閉其數位身分認證服務，國家網路安全中心（NCSC-NL）亦同步下線官網。

芬蘭國家 IT 供應商 Valtori 下線政府公共網站服務；法國內政部暫時關閉各地行政區（prefecture）網站；德國聯邦 IT 服務提供商 ITZBund 亦依路透社報導停用多個網站。

澳洲訊號局（ASD）承認，其網路安全官網 cyber.gov.au 亦受本次 PHP 問題波及。

日本內閣府特命擔當大臣高市早苗於 X 平台呼籲網站營運者盡速套用修補程式；她指出，若無法立即更新，可考慮暫時關閉網站功能以降低風險。

營運維基百科的維基媒體基金會表示，已預防性下線部分支援服務，包括供志工開發者使用的 Toolforge 及 Cloud VPS，導致維基百科部分功能於週三暫停。

區塊鏈資安公司 SlowMist 指出，其 MistEye 服務針對加密產業 PHP 使用狀況進行掃描，敦促交易所、去中心化金融（DeFi）平台與錢包服務商審視自身風險並立即升級；於評估的 1,488 個網域中，共識別出 793 個具明確 PHP 指紋之網域。

支援 Cardano 區塊鏈發展與治理的會員制組織 Intersect 表示，已暫時關閉「會員專區」以評估潛在風險；截至撰文時，該頁面仍處離線狀態。

Coinbase 首席安全官 Jeff Lunglhofer 表示，公司未發現任何 PHP 實例遭暴露的證據。

『每當聽聞此類漏洞，我們均會自動全面掃描，確保系統盡可能安全。同時亦正與第三方供應商協作，以獲取額外保障。』

數位資產基礎設施公司 BitGo 亦表示其平台未受此次 PHP 漏洞影響。

與此同時，幣安共同創辦人趙長鵬於週三提醒網路使用者，未來數日訪問任何網站時務必『格外謹慎』，因部分網站管理員可能尚未更新安全修補程式。

OpenAI 已發布一項 Codex 技能，協助網站營運者檢測是否存在易受攻擊的 PHP 版本並識別適用更新，可透過 GitHub 取得。

PHP 安全團隊表示，截至公開披露時，尚未發現任何實際可用的利用方式。

雜誌專題：儲存比特幣的 5 款 Ledger 替代方案