HKCERT發嚴重漏洞警示 籲企業速修PHP系統防範AI加速攻擊

香港網絡安全事故協調中心（HKCERT）近日發出緊急警告，指出PHP安全團隊已發布安全更新，旨在修補兩個合稱為「PHP2Shell」的嚴重漏洞（CVE-2026-109618及CVE-2026-109619）。HKCERT強調，遠端攻擊者可利用相關漏洞執行未經授權的程式碼，對本港企業及機構的網絡安全構成重大威脅，受影響的PHP系統必須盡快進行修補。 HKCERT特別提醒，今次漏洞的潛在風險不限於傳統的網站伺服器。許多企業日常使用的應用程式、網絡及保安設備、儲存及監控系統等，其管理後台或運作元件亦可能內嵌PHP。值得留意的是，相關PHP版本未必與作業系統所顯示的版本一致，容易成為企業網絡安全管理的盲點。有見及此，機構除了檢查網站伺服器外，更應立即全面盤點所有可能使用PHP的產品、服務及對外系統，並主動向供應商確認受影響範圍及修補安排。 值得關注的是，人工智能（AI）技術正加速網絡安全攻防的速度。據公開資料，相關PHP漏洞早於2026年8月已由安全研究人員運用AI技術發現，並通報PHP團隊進行修補。隨著漏洞資料公佈，多家網絡安全機構亦已偵測到針對此PHP漏洞的大規模掃描及攻擊行為。AI工具正降低漏洞分析及概念驗證程式碼（PoC）開發的技術門檻，當漏洞技術細節公開後，攻擊者亦可能更迅速開發攻擊工具，令由漏洞披露、掃描至嘗試利用的應變時間進一步縮短，企業過往待安全更新發布後才逐步安排修補的做法將面臨更大風險。 PHP是全球廣泛使用的伺服器端程式語言，支援大量網站，包括使用WordPress、Joomla及Drupal等內容管理系統（CMS）的網站，其應用覆蓋全球超過75%的網站。根據VirusTotal估算，全球有超過510萬部PHP主機連接互聯網，當中約380萬部開放至少一個連接埠，使相關漏洞成為攻擊者的主要目標。 為應對此威脅，HKCERT呼籲企業立即採取五項應對措施。首先，全面盤點PHP資產，尤其是面向互聯網的伺服器，以釐清所有運行PHP的系統。其次，應立即安裝安全更新，將PHP升級至已修補版本，例如PHP 8.5.12、8.4.27、8.3.36或8.2.35，並建議重啟相關服務或系統以確保修補程式生效。 第三，主動聯絡設備及軟件供應商，特別是針對PHP 8.1或更舊等已不再獲PHP官方支援的版本，用户應盡快升級至受支援版本，或向所屬發行版或長期支援（LTS）供應商查詢修補程式。第四，如未能即時安裝修補程式，應考慮暫時將受影響系統下線，或與公共網絡隔離，以降低遭受攻擊的風險。第五，企業應檢查系統紀錄及網絡流量，留意異常請求、未經授權的程式碼執行或其他可疑活動，以及時發現並應對潛在入侵跡象。 HKCERT再次呼籲各機構，應盡快盤點機構內受影響的對外系統，優先修補可經互聯網存取的服務，並檢查系統有否遭入侵。如發現可疑活動，應立即隔離受影響系統、保留相關紀錄，並展開事故應變工作，以最大程度減少潛在的網絡安全風險。