编程语言“PHP”曝致命安全漏洞，全球网络安全警报拉响……韩国加紧应对（综述）
韩国科学技术信息通信部"传达安全守则"
国内企业紧急制定应对措施
专家建议尽快更新
全球超过70%的网站使用的编程语言“PHP”被发现存在致命安全漏洞，全球网络安全警报随之拉响。在美国政府建议立即进行安全更新之际，欧洲多个政府机构及重要公共服务网站接连停止运行，影响范围不断扩大。韩国科学技术信息通信部于22日向各企业和主要机构紧急通报PHP漏洞信息及安全守则，并着手制定应对措施。
韩国科学技术信息通信部一名高级官员表示：“我们已通过各企业的首席信息安全官，优先传达此次发现的PHP漏洞信息和安全守则。”他还称：“我们计划监测各企业网页是否使用PHP，以及是否完成安全更新等情况。”韩国互联网与安全局也发布紧急公告，警告PHP漏洞带来的风险，并建议进行安全更新。
21日（当地时间），德国柏林一台计算机服务器上安装的硬盘驱动器。信息技术安全机构表示，在PHP准备安全补丁期间，网站可能无法访问。柏林（德国）=路透社、韩联社供图。
View original image立即更新……若无法更新，则切换至离线状态
据《华尔街日报》21日（当地时间）报道，美国国家安全局当天通过X（原推特）表示：“建议所有在系统中使用PHP的机构和企业做好安全更新准备。”该局还呼吁，若无法立即更新，应在漏洞彻底修复前将相关系统切换至离线状态。美国联邦调查局也警告称，黑客利用PHP安全漏洞从外部入侵服务器的风险已经升高。
欧洲多个网站接连采取预防性措施，暂停运营。荷兰政府门户网站、鹿特丹港、足球协会、主要政党及医院等网站服务均已中断。芬兰政府也暂时停止了公共网络服务，比利时外交部和地方政府、丹麦公立学校的交流平台等也封锁了访问。德国、法国、捷克等国的一些政府网站也出于预防考虑切换至离线状态。
业界也强调了此次漏洞的严重性。OpenAI当天发表声明称：“考虑到该漏洞的严重程度以及PHP的广泛使用，我们认为这是近期影响范围最大的安全漏洞之一。”
PHP是一种广泛用于网站运营的免费开源编程语言，用户访问网页时，它会在服务器端整合内容并显示在屏幕上。此次发现的漏洞共有两个，安全行业称之为“PHP2Shell”。漏洞源于服务器的内存处理过程，黑客无需登录或身份验证，即可进入服务器并执行任意命令。路透社解释称，攻击一旦成功，可能导致个人信息被盗、服务器遭控制等后果。更值得关注的是，根据通用漏洞评分系统的国际安全漏洞评估标准，这两处漏洞均获得满分10分中的9.2分，被列为最高级别的“严重”漏洞。
《华尔街日报》报道称，此次漏洞是在人工智能研究过程中发现的。网络安全公司Calif利用OpenAI的“GPT-5.6 Sol”，于8月11日上报了第一个漏洞。谷歌旗下安全公司Wiz也借助人工智能，于同月24日上报了第二个漏洞。据悉，这些漏洞早已存在，但由于难以证明其可被利用，因此此前一直未被发现。
为此，PHP开发团队将原定于22日发布的安全补丁提前了一天。然而，相关信息提前泄露，且已发现部分黑客攻击尝试，据悉，外界对损失扩大的担忧正在加剧。Calif首席执行官Tai Z. Duong向《华尔街日报》表示：“有人可能会利用人工智能分析安全补丁，并公开黑客攻击代码。”他警告称：“如果发生这种情况，局面将陷入无法控制的混乱。”
国内加紧制定应对措施……亟须加强人工智能内部管控
PHP被发现存在致命安全漏洞后，韩国企业也在加紧制定应对措施。政府建议升级至已修复漏洞的PHP版本，专家也强调，鉴于此次漏洞被利用的可能性较高，必须迅速完成更新。
据韩国互联网与安全局介绍，受影响的PHP产品包括8.2、8.3、8.4和8.5四个版本。具体而言，使用低于8.2.35、8.3.36、8.4.27和8.5.12的细分版本，都可能受到此次漏洞影响。该局建议将正在使用的PHP升级至上述版本或更高版本。该局特别强调，PHP 8.1及更早版本已停止官方安全支持，用户应升级至仍在支持的版本。
此次事件影响较大，是因为PHP在全球范围内被广泛用于网站开发。网页技术分析公司W3Techs的数据显示，在能够识别所用编程语言的网站中，约70%使用PHP。全球约43%的网站使用的网站建设与管理系统WordPress，也基于PHP运行。
专家强调，应尽可能迅速地完成此次漏洞修复更新。高丽大学以人为本人工智能研究院教授Choi Byungho表示：“应尽快更新至已修复安全问题的PHP版本，完成相关安全补丁。”他警告称：“人工智能代理可能被滥用，用于针对PHP漏洞发起攻击，这终究只是时间问题。”Choi教授还建议：“如果眼下难以更新，就应先断开与网络的连接，再制定应对措施。”
从程序开发阶段起就应将安全性融入其中
也有专家建议，应转变开发理念，将安全放在首位。东国大学国际信息保护研究生院教授Hwang Seokjin表示：“随着利用人工智能发动的漏洞攻击加快，事后应对将显现局限性。必须从程序开发阶段起就将安全性融入其中，即使在开发过程中使用人工智能，也应建立由人直接核验的机制。”
Stealien代表Park Chanam表示：“人工智能已能用于发现并实际利用PHP事件中这类漏洞，这将彻底改变网络安全领域的范式。”他强调：“迅速进行安全更新最为重要，各机构也应顺应人工智能的发展，加强安全管理和内部管控。”不过，据悉，韩国主要平台企业的网页对PHP依赖度较低，因此此次事件造成的影响并不大。一名韩国主要平台行业人士表示：“我们并未将PHP作为主要技术使用”，但也称：“我们正密切关注新发布的补丁以及全球各项动态。”
版权所有 © 阿视亚经济。未经许可不得转载，禁止用于AI训练及使用。
