PHP 噩夢過後，網路真的安全了嗎？你該知道的重點

在 PHP 的兩個漏洞 導致各國政府急忙關閉網站的一天後，修復方案已經發布，攻擊者正猛烈攻擊，而許多人都在問同一個問題：我可以不用擔心地上網，還是應該躲到床底下直到下週？

簡短的答案是：網際網路並沒有崩壞，對大多數人來說，風險在於他們造訪的網站，而不是自己的手機或筆記型電腦。較長的答案則有幾個值得了解的注意事項。

快速回顧：PHP 是在約 70% 已知伺服器端語言的網站背後運作的軟體，而這兩個被暱稱為 PHP2Shell 的漏洞，能讓陌生人無需登入就接管有漏洞的伺服器。

修好了嗎？

那麼，這個漏洞利用修好了嗎？是的，大致上。根據 PHP 的 發布說明，PHP 於週三發布了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本。「沒有完整的緩解措施，更新是唯一安全的選擇。」截至週四，PHP 尚未發布任何後續修補程式。

不過，修復方案只有在有人安裝後才有幫助。PHP 不會自行更新，因此每家託管公司、IT 部門和獨立網站擁有者都必須在自己的伺服器上套用更新，然後重新啟動軟體才能生效。

換句話說，修復方案已經存在，但這並不代表你造訪的網站一定安全。

PHP 8.1 及更早版本不再獲得官方發布，這使得較舊的伺服器成為弱點，不過 PHP 的安全團隊為自行編譯軟體的人發布了 7.4、8.0 和 8.1 的基本修補程式。

真的有人被駭嗎？

攻擊者當然嘗試過：Cloudflare 執行長 Matthew Prince 表示，他的網路在公告前 10 小時內看到數千次漏洞利用嘗試，公告後 45 分鐘內有數萬次，兩小時內有數十萬次，此後則有數百萬次。

Amazon 更進一步表示，其誘餌伺服器在 10 月 17 日記錄到一次嘗試，比這些漏洞公開早了四天。「目前仍不清楚該行為者是如何在披露之前取得漏洞利用資訊的，」Amazon 資訊安全長 CJ Moses 寫道，並補充說 PHP2Shell「現在正被廣泛地在野外利用。」

然而，各國政府似乎尚未經歷任何形式的成功入侵。德國聯邦網路安全局 BSI 副局長 Thomas Caspers 表示，該局已看到攻擊，但沒有成功利用這些漏洞的案例，並補充說：「利用它似乎比預期的要複雜一些。」日本內閣官房長官木原稔也表示，尚未確認有任何利用這些漏洞的攻擊。

嘗試是有人在轉動門把；入侵是有人進到了裡面，所以這兩種說法可以同時成立。數百萬次轉動門把而零次確認的入侵是好消息，但入侵往往是在事後才被發現，而不是即時發現。

為什麼沒有更早發現這件事？

某種程度上確實有。在週三發布的一篇部落格文章中，PHP 基金會表示其在 2024 年的安全工作「發現了 CVE-2026-109618 背後 OOM 問題的最初跡象」，意指這兩個漏洞其中之一核心的記憶體不足錯誤。

根據該基金會的說法，團隊提出了「幾種相互競爭的方案」來修復它，但「難以在這些方案之間做出選擇，並擔心發布錯誤選擇所帶來的後果」。「如果沒有基金會的資助，就不可能讓多人全職投入這個問題，」它補充道。

「我們不會假裝不是這樣：這次延遲是一次結構性失誤，由安全團隊的決策流程及其資源不足所造成，」該基金會寫道，並補充說其安全團隊過去需要達成共識，現在將改以多數決決定。根據該文章，對於運行網際網路大部分內容的軟體而言，這項安全工作「仍依賴於一小群由基金會資助的開發者以及少許志願者的協助」。

為什麼有些網站仍然無法運作？

因為修補需要時間，而「離線」是對任何無法立即修補者的官方建議。英國的國家網路安全中心告訴各組織應考慮「在系統能夠被完全緩解之前，將其下線」。

週三下線的網站名單迅速變長。根據TechRadar，其中包括維基媒體服務、數十個國家的Orange網站與應用程式、32項英國政府服務、荷蘭的醫院，以及德國的聯邦IT供應商ITZBund。

英國預算責任辦公室和愛丁堡市議會網站已於週四恢復。根據DutchNews，其他網站，例如荷蘭的匿名犯罪舉報網站Meld Misdaad Anoniem，週四上午仍處於離線狀態。

我應該更改我的密碼嗎？

至少不是因為這件事，至少目前還不是。迄今尚無已確認的資料外洩事件與PHP2Shell有關，而且如果某個網站的伺服器仍未修補，今天更改所有密碼也無濟於事。

真正有幫助的是那些無聊的事：為每個帳戶使用獨特的密碼、開啟雙因素驗證，以及在未來幾週內若某家公司寄電子郵件通知你發生外洩時多加留意。如果真有此事，請更改該密碼，以及任何你重複使用該密碼的帳戶。

網站擁有者有更多功課要做，因為修補雖然關上了門，卻不會告訴你是否已有人先一步闖入。安全公司Tag1建議尋找不是你上傳的PHP檔案、新的排程任務和新的帳戶，並在任何執行過易受攻擊版本的對外網際網路伺服器上輪換資料庫密碼和API金鑰。

那加密貨幣呢？

幣安創辦人趙長鵬在X上有一則簡短建議：「說我偏執也罷，但未來幾天造訪任何網站時都要格外小心。」

被駭入的網頁伺服器可能會向你展示真實網站的偽造版本，而在加密貨幣領域，這通常意味著一個要求你連接錢包並批准一筆會清空錢包交易的頁面。區塊鏈網路本身可能沒問題；但位於其前端的網站可能並非如此。

接下來幾天，請再三確認你正在簽署的內容，將你使用的網站加入書籤而不是點擊連結，如果你有硬體錢包就使用它。到目前為止，尚無加密貨幣交易所公開報告與 PHP2Shell 相關的入侵事件。

那麼，它安全嗎？

如今瀏覽網頁的安全程度大致與上週相同，也就是說並非完美。真正的風險在於那些尚未修補的伺服器，而安全公司 Mallory 統計約有 884,000 個對外開放的主機正在執行無法獲得官方修復的 PHP 版本。

Amazon 給防禦者的建議基本上就是：這件事還沒結束。「防禦者不應假設公開披露日期就是最早的利用日期。」任何自至少 10 月 17 日以來曾執行過易受攻擊版本的伺服器都應接受檢查，而不只是修補。