中央消息

（中央社底特律22日综合外电报导）全球许多人昨天一早得知，大多数人从未听过但却支撑约70%网站的编程语言PHP，出现一个可被黑客利用的漏洞，迫使企业与政府纷纷紧急展开修补行动。

路透社报导，尽管PHP的漏洞存在底层代码本身，但美国国家安全局（NSA）警告，攻击者可能会利用这些漏洞控制网页服务器，进而窃取数据、中断服务或在一般人日常仰赖的各种服务网络中移动。

专家表示，防护责任主要落在软件供应商与服务客户的组织身上，但每个人都应该采取一些基本步骤，以维护自身安全。

● 激活多重要素验证

多重要素验证（multi-factor authentication, MFA）是指进入受保护的网站时，需通过两种形式的验证，例如密码加上短信验证码或安全密钥。资安公司Censys首席安全研究员奥斯汀（Emily Austin）建议，民众应为每个网站设置独特密码，并留意任何交易纪录。

奥斯汀说：「但实际上，针对PHP漏洞这类情况，除了祈祷自己所依赖的服务不是使用PHP，或有人正在积极进行修补外，一般最终用户其实束手无策。」

PHP漏洞是近期接二连三冒出的严重软件漏洞之一，在日益强大且易于取得的大型语言模型推波助澜下，情况变得更加严重。在受到广泛使用的软件中，一些长期未被发现的漏洞，曾因太过晦涩或复杂而难以被人类利用，如今却变得更容易被挖掘与转化为武器。

● 将硬件更新设为自动运行

网络安全公司Trail of Bits首席执行官兼共同创办人基多（Dan Guido）建议民众「打开手机、电脑与家用路由器的自动更新」。企业通常会在已知漏洞的修补程序 发布时，同时发布安全性更新，因此及时安装这些更新可缩短恶意分子趁虚而入的窗口。

基多表示，即便如此，消费者仍受制于他们仰赖的服务。他说：「就算造访网站的人做对了每件事，例如使用双重要素验证，他们的数据还是可能外泄。你根本无法自行修补医院网站漏洞。」

基多指出，大部分的工作都落在提供服务的公司身上，「他们必须更快速发布修补程序，并限制遭骇系统可能造成的损害」。

Granitt创办人兼数字安全专家桑德维克（Runa Sandvik）表示，民众只要看到设备的应用程序与服务有更新发布时，就应该立即更新，同时别忘了家里各处的连网设备。

桑德维克说：「我可以预见一种情境，就是有些人家中使用某些物联网（IoT）设备，这些设备没有常常更新，甚至可能完全没有更新。值得和厂商再次确认，看看是否有可用的更新。」

● 修补、修补、再修补

英国萨里网络安全中心（Surrey Centre for Cyber Security）及萨里大学（University of Surrey）讲师加德汉（Daniel Gardham）博士表示，各大组织必须清楚掌握他们使用的软件、及时修补漏洞，并检查是否已遭入侵。加德汉补充说，在人工智能（AI）时代，攻击者掌握优势。

加德汉指出：「发现漏洞会变得愈来愈快、愈来愈容易，但要在依赖这些软件的各式系统中修补漏洞，如今变得困难许多。组织如何管理这中间的差距，将决定AI究竟是让网络变得更安全，还是更脆弱。」

● 慎防诈骗者

资安公司0rcus共同创办人兼首席执行官亚当斯（Nic Adams）表示，每当重大网络安全威胁登上新闻头条时，诈骗分子与网络犯罪分子就会企图趁机行骗。

亚当斯呼吁提防陌生链接。他说：「当这些新闻头条出现时，请自行打开相关应用程序，或亲自输入网站网址，查看受影响公司的指示。如果收到要求『保护帐户安全』的紧急消息，都应格外谨慎查证。」

● 银行资金仍安全

美国银行家协会（American Bankers Association）风险、诈骗与网络安全部门运行副总裁班达（Paul Benda）表示，自前沿模型问世以来，各大银行一直在为这个时刻做准备，并「付出极大的努力，确保不再有任何容易让不法分子下手的漏洞」。

然而，班达补充说，就网络威胁而言，「我们已进入一个新常态」，消费者必须保持警觉，尤其是在PHP漏洞事件之后，当在来路不明的零售商或网站购物时，必须格外小心，因为这些网站的「安全性不如你的银行完善」。

班达表示，消费者不应在不同购物网站间重复使用相同密码，应考虑在可能的情况下使用通行密钥，这是专为特定网站设置的数字密钥，用户无须输入密码就能登录网站，并能防范网络钓鱼攻击。（编译： 张晓雯 ）1151023

选择与事实站在一起，您的每一份赞助，都是守护新闻自由的力量

下载中央社「一手新闻」APP，即时掌握最新消息

本网站之文本、图片及影音，非经授权，不得转载、公开播送或公开传输及利用。