重點整理
- PHP 嚴重漏洞由 OpenAI 計畫與安全公司聯手發現。
- 伺服器更新需經作業系統與雲端平台，無法像瀏覽器秒更新。
- 社群流傳的攻擊截圖多為特殊環境測試，預設環境不受影響。
- 官方建議關閉特定上傳進度設定，作為更新前的臨時緩解措施。
最近 PHP（許多網站後台使用的程式語言，例如 WordPress 或 Laravel）爆出嚴重的安全漏洞。這跟你的網站有什麼關係？如果你的網站是用 PHP 開發的，卻沒有及時更新系統，網站可能會被駭客完全控制。這篇文章將帶你了解這次 PHP 遠端程式碼執行（RCE，指駭客能在你的伺服器上執行惡意程式的嚴重漏洞）是怎麼被發現的，以及為什麼系統更新往往沒有想像中那麼快。
漏洞是怎麼被發現的？AI 與安全團隊的聯手
這次漏洞的發現，得益於 PHP Foundation（PHP 基金會）將 PHP 納入 OpenAI 的 Patch the Planet 計畫。安全公司 Calif 在審計 PHP 時發現了問題，並在 Docker（一種將程式與環境打包在一起的容器技術）中展示了一個最小化的攻擊利用。PHP 安全團隊確認這是真實的威脅後，OpenAI 和 Wiz 也接連報告了相同根本原因的其他攻擊途徑。這顯示了結合 AI 工具與專業安全審計，能更有效率地找出潛藏的系統危機。
為什麼修補漏洞需要這麼長的時間？
許多企業主會疑惑，為什麼瀏覽器更新只要點一下，但伺服器端的 PHP 更新卻需要時間？Volker Dusch（PHP 基金會的生態系統安全團隊成員）解釋，PHP 專案發布的是原始碼，而不是直接安裝的軟體。修復程式碼必須經過 Debian、Ubuntu、Red Hat 等作業系統，以及官方的 Docker Hub 映像檔（將軟體與執行環境打包好的檔案），最後才能送到你的伺服器上。
因為這次漏洞非常嚴重，團隊甚至協助協調了已經不再支援的舊版本回溯修復。同時，團隊也與 Cloudflare 等 WAF（網頁應用程式防火牆，一種幫忙擋下惡意網路流量的防護系統）供應商合作，在正式發布前就提供防護規則。這樣一來，即使你的網站還沒來得及更新，也能先受到防火牆的保護。
保密協議破局與社群上的「假攻擊」
為了讓使用者能在漏洞公開的第一時間更新，發行版廠商會提前拿到補丁。但 Chainguard 卻在協調發布的六小時前，提前發布了補丁映像檔，打破了保密協議。Volker 指出，現在利用 AI 或二進位檔來製作攻擊程式，速度比以前快非常多，這讓沒有及時更新的人暴露在極大的風險中。
不過，大家也不用過度恐慌。Volker 提到，社群媒體上流傳的許多攻擊截圖，其實只在經過特殊修改的 Docker 容器中有效，對 Docker Hub 的預設映像檔根本沒有作用。真正懂技術的人知道如何把 AI 當作增強能力的工具，而不是完全把思考外包給機器去製造恐慌。
目前該做什麼？官方的臨時緩解措施
PHP 官方發布了後續公告，建議在下次常規修復發布前，將設定檔中的 session.upload_progress.enabled 設為 0。這個設定其實在週三的警告中就已經是建議的緩解措施之一，如果你當時已經套用，就不需要再做任何額外操作。Volker 也補充，這個特定漏洞的觸發條件非常嚴苛，整體來說風險相對輕微。
崴米的建議
這次 PHP 漏洞事件提醒我們，網站底層系統的安全更新是一場持久戰。作為企業主，你不一定要親自處理這些技術細節，但必須確保有人幫你盯著。以下是我們給您的具體建議：
- 確認網站底層技術與更新狀態：請先了解您的網站是使用什麼程式語言或框架開發的。如果是 PHP 相關技術，請務必聯繫您的技術人員或原廠，確認是否已經套用最新的安全更新。
- 將主機監控與更新交給專業團隊：中小企業通常沒有專屬的資安團隊，但網站安全不能裸奔。選擇有在定期巡檢主機、協助更新系統與監控異常的服務，能讓你在第一時間收到通知並進行處理。您可以透過我們的網站代管維護與主機監看服務，讓專業團隊幫您顧好網站後台的日常安全與穩定。
參考來源：Volker Dusch on the PHP RCE Vulnerabilities and Disclosure
