PHP 基金會承認，決策問題與資源有限，導致一項 PHP 安全修補延遲；該漏洞最早於 2024 年被發現。週三，針對兩項相關重大漏洞的緊急修補程式發布後，政府機關及其他組織為求謹慎，將網站下線。
重點摘要
- 基金會稱，延誤回應是涉及安全流程與資源的結構性失靈。
- 這些漏洞可能讓未經驗證的攻擊者在受影響伺服器上執行程式碼。
- 加密貨幣相關組織檢視了自身受影響的可能性；Coinbase 和 BitGo 則表示沒有受影響的系統。
目錄
PHP 安全修補因相容性與人力問題停滯
基金會的說明將焦點放在一項已知技術疑慮為何數月未獲解決。開發人員於 2024 年發現漏洞跡象，但一直難以找到既能修補漏洞、又不會影響廣大 PHP 軟體生態系的解決方案。PHP 是一種廣泛用於網站與網頁應用程式的語言。
當時，開發人員尚未確認可遠端執行程式碼的途徑。基金會表示，少數具備 PHP 引擎必要專業知識的人員還有其他職責，導致修補工作一再中斷、重啟。
基金會將這次延誤形容為「結構性失靈」，原因包括安全團隊的決策流程，以及資源不足。
8 月 11 日，安全公司 Calif 與 OpenAI 各自通報相同的根本問題後，該問題升級為最高優先級的安全事項。Calif 展示了無條件遠端執行程式碼的情況。
預防性停機擴及公共服務
緊急修補程式發布後，多個國家的服務受到影響，營運商在準備更新期間將服務中斷。荷蘭關閉了其數位身分服務，荷蘭國家網路安全中心也將自己的網站下線。
芬蘭政府資訊科技服務供應商 Valtori 中斷了政府公共網路服務；法國內政部則暫時將各省政府網站下線。德國聯邦資訊科技服務供應商 ITZBund 也停用了數個網站。
澳洲訊號局表示，政府網站 cyber.gov.au 也受到 PHP 問題影響。日本首相高市早苗敦促營運商做好迅速修補的準備，並表示若無法立即更新，暫時停用網站功能或可降低風險。
維基媒體基金會也將 Toolforge 和 Cloud VPS 等支援服務下線，導致週三維基百科部分功能受到影響。
加密貨幣業者評估可能受到的影響
區塊鏈安全公司 SlowMist 表示，其 MistEye 服務在評估的 1,488 個加密貨幣產業網域中，於 793 個網域偵測到直接的 PHP 指紋。該公司敦促交易所、DeFi 平台和錢包服務供應商檢視自身受影響的可能性並升級系統。這項調查結果確認的是這些網域使用 PHP，而非證實它們存在漏洞。
支持 Cardano 開發與治理的會員組織 Intersect 在評估可能受到的影響期間，暫時關閉了會員專區。
Coinbase 資安長 Jeff Lunglhofer 表示，公司未發現 PHP 實例遭暴露的證據，也正在向第三方供應商確認。BitGo 另表示，其平台未受影響。
漏洞利用狀態與已證實的風險仍須區分
儘管遠端執行程式碼的風險已獲證實，PHP 安全團隊表示，截至對外揭露時，尚未發現任何可運作的漏洞利用程式。
OpenAI 透過 GitHub 發布了一項 Codex 技能，協助營運商檢查可能有漏洞的 PHP 版本，並找出適用的更新。
結論
緊急修補程式處理了眼前的漏洞，但基金會的坦承也凸顯出延誤修補的流程缺失。據報導的停機措施屬於預防性作法，並不代表受影響的組織已遭入侵。
閱讀更多新聞
免責聲明
本文由 FinanceVelix 提供一般資訊，不構成個人化財務、投資、法律或稅務建議。市場價格、利率及經濟狀況可能變動；投資具有損失風險。本文所述事實反映發布時可取得的資料，日後可能有所變動。請自行核實重要資訊，並視需要諮詢合格專業人士。提及任何資產、公司或服務，不代表 FinanceVelix 對其背書。
