PHP 語言漏洞導致全球網站關閉

摘要

《衛報》報導比利時、荷蘭、芬蘭、法國、德國等政府網站預防性下線，英美國家安全機構發出警告；並引述 Amazon 於公開前四天就在蜜罐看到利用嘗試。

重點

• 依 W3Techs，近 70% 網站使用 PHP；WordPress、維基百科、Slack，以及歷史上大量 Facebook 程式碼都用 PHP。維基媒體基金會周三預防性關閉若干系統。
• 美國 NSA 呼籲無法立即修補者讓系統下線，稱漏洞可能「provide a direct path to the server’s file system or database」。英國 NCSC 建議檢查攻擊者是否已安裝後門。
• 英國愛丁堡、布里斯托、牛津市議會網站下線。法國含巴黎警察總局在內的地方政府網站周三無法存取。荷蘭國家數位身分服務、眾議院網站與國家網路安全中心網站下線。
• 澳洲訊號局（ASD）當地夜間短暫受影響，國家網路防衛機關指出其他政府網站可能同樣受波及。
• OpenAI 稱主導發現該缺陷的研究聯盟，並主張前沿 AI 是關鍵；發現者 Calif 則說用的是公眾可取得的模型。Calif 稱 8/1 在大型語言模型協助下發現、此後一直在修。Wiz 稱也用 Wiz Atlas、Gemini 4 Argon 與 GPT-5.6 Sol 獨立發現。
• Amazon 安全長 CJ Moses 表示 10/17 在蜜罐偵測到利用嘗試，來源為匿名位址，不清楚行為者如何在禁運期間得知漏洞。白宮稱周五接獲通知。
• TLP:Black 共同創辦人 Costin Raiu 稱 AI 正在推動「race to exploit」，下一步是大規模入侵所有脆弱網頁伺服器。薩里大學 Alan Woodward 警告會有很長的未維護網站尾巴。網路基礎設施專家 Michał Woźniak 預期大量自動化利用。

值得引用

“The troubling part is there is going to be a long tail of websites who may not be maintained as well and they are going to remain vulnerable, which means we may see weeks and months of ongoing attacks.” —— Prof Alan Woodward