中央消息

（中央社伦敦21日综合外电报导）编程语言PHP存在重大安全漏洞，专家警告，随着修补程序公开，黑客可利用AI迅速找出漏洞并发动攻击，恐引发一波入侵潮，欧洲多国政府和企业已预防性关闭网站，以降低资安风险。

路透社报导，PHP开发团队今天紧急发布新版修补程序，修复软件中潜藏多年、直到近期才借由人工智能（AI）技术发现的漏洞，并呼吁所有用户「立即套用更新」。

科技公司警告已有黑客利用这些漏洞入侵网站，欧洲多国政府机关因而采取预防性措施，让相关网站脱机。

由于修补程序现已公开，加上人工智能（AI）工具能轻易对该漏洞进行逆向分析，资安专家警告，黑客可能赶在网站更新修补程序前抢先发动攻击，相关人员正严阵以待，防范可能出现的入侵潮。

资安研究与事件应变公司TLP:Black共同创办人雷尤（Costin Raiu）表示，AI正在助长一场「抢攻漏洞的竞赛」。他说，接下来可能出现「网络上所有存在漏洞的网页服务器遭大规模入侵」的情况。

PHP是一种可追溯至1990年代初期的编程语言，默默支撑WordPress、Drupal、Joomla和Magento等系统、共享主机平台、控制面板，以及许多根本不会标示底层使用PHP的软件，因此任何重大漏洞都可能引发广泛的连锁影响。

Drupal协会代理首席执行官法里斯（Tiffany Farriss）表示：「所有使用过去20年发布的任何PHP版本的服务器，都会受到这项漏洞影响。这个问题牵涉互联网上绝大多数网站。」

全球资安机构已呼吁PHP用户立即更新，或在安装修补程序前暂时关闭网站。

互联网情报公司Censys的数据显示，在260万台主机中，约有150万台通报仍在运行尚无修补程序可用的PHP版本。

两家资安公司在各自发布的报告中指出，PHP的安全漏洞是通过AI技术所发现。

资安公司Calif在博客文章中表示，公司8月1日借助大型语言模型（LLM）发现这些漏洞，此后便一直着手开发修补程序。

Alphabet旗下网络安全公司Wiz也在博客文章中指出，公司同样利用AI工具发现漏洞，包括自主式AI漏洞研究工具Wiz Atlas，以及谷歌（Google）的Gemini 4 Argon和OpenAI的GPT-5.6 Sol。

Wiz表示，这些漏洞在PHP代码中潜藏超过10年，对人类黑客而言，要利用漏洞发动攻击极为复杂，「在AI出现之前，这类工作不仅难以运行，更难扩大规模。如今有了AI，这已不再是障碍」。

Calif与Wiz表示，他们发现漏洞后，已与PHP开发团队及OpenAI协调处理。

白宫在声明中表示，美方于本月16日获悉这项漏洞。

亚马逊资安主管摩西（CJ Moses）在博客文章中表示，亚马逊资安团队于10月17日侦测到有人试图利用这些漏洞，攻击其一套诱捕系统（honeypot）。

亚马逊说，目前仍无法确定这些攻击能否成功入侵实际运作的网站，但这些漏洞「如今已在真实环境中遭到广泛利用」。

PHP是一种用来运作网站的编程语言。当访客加载网页时，运行PHP的服务器会组合网页内容，并发送至浏览器。PHP是免费的开放原代码软件，由志工维护。

根据网络技术追踪机构W3Techs，在能够辨识所使用编程语言的网站中，大约75%使用PHP。

伦敦国王学院（King's College London）客座资深研究员奥莱尼克（Lukasz Olejnik）表示，近几周激增的AI辅助黑客攻击行动，可能对尚未安装修补程序的服务器造成严重破坏。

WordPress.com营运商Automattic表示，使用该公司托管服务及Tumblr的用户不受这项漏洞影响。

相较之下，由个人或技术资源有限的组织经营、以PHP驱动的小型网站风险较高。这些网站经常采用共享主机服务，客户无法直接管理底层服务器。

在荷兰，多个组织跟进国家网络安全中心（National Cyber Security Centre）的做法，暂时关闭对外公开的网站，包括鹿特丹港（Port of Rotterdam）、政府门户网站Overheid.nl、荷兰足球协会（KNVB）、全国5大政党网站，以及多家医院网站。

丹麦市政IT公司Kombit表示，已关闭多项服务，包括全国学校通信平台。

芬兰受到的影响范围更广，负责提供国家信息技术服务的Valtori表示，政府公共网络服务已「基于预防性措施」暂时下线。

法国内政部则表示，已将旗下所有网站转入预防性维护状态。（编译： 刘文瑜 ）1151022

选择与事实站在一起，您的每一份赞助，都是守护新闻自由的力量

下载中央社「一手新闻」APP，即时掌握最新消息

本网站之文本、图片及影音，非经授权，不得转载、公开播送或公开传输及利用。