【方保僑 - 天方夜談】PHP漏洞揭示AI武器化攻擊新時代

全球互聯網剛經歷了一場被稱為「黑色十月」的集體震盪。支撐全球近七成網站，包括WordPress、電子商務平台及大量政府機構官網的程式語言PHP，被揭發存在嚴重遠端程式碼執行漏洞。黑客毋須任何帳號密碼，僅憑一個精心構造的HTTP請求，即可接管網站伺服器，竊取數據庫或植入後門程式。此事件絕非單一企業的技術故障，而是一場牽連全球的資安公共危機。

最值得深思之處，是攻擊模式的根本性轉變。過去資安漏洞並潛伏多年始被偶然發現，然而是次漏洞卻是資安研究員利用生成式AI進行自動化源碼審計時，在短短數週內挖出來的成果。原定披露日程為星期四，但相關攻擊程式碼於星期二已在黑客社群外洩，迫使PHP官方提前於星期三緊急發布修補程式。據監測顯示，Amazon早於官方修補前四日已偵測到針對性的掃描行為，而Cloudflare亦攔截到數以百萬計的攻擊嘗試。這正揭示了AI網絡安全威脅的核心：AI不僅能大幅縮短漏洞挖掘的時間，更能將漏洞武器化及自動化攻擊的門檻降至前所未有的低位。

漏洞引發的連鎖反應，足證其破壞力已超越技術層面。日本首相須連夜發出全國性呼籲要求緊急修補，導致日本多個國民級遊戲及應用程式被迫進入緊急維護。英國方面，倫敦警察廳網站一度離線，全國多達三十二項政府數碼服務受影響。歐洲同樣未能倖免，荷蘭用作報稅及身份認證的全國性系統DigiD、法國內政部網站，乃至芬蘭所有政府網站，為免成為攻擊目標而主動暫時下線。就連維基百科的後台編輯工具、Internet Archive，以及負責處理多國企業薪酬的BambooHR系統，亦同告陷入停擺。同期，LiteLLM被揭遭劫持，GitLab亦需緊急修補一個CVSS評分達十分滿分的漏洞，顯示AI正對整個開源生態進行地毯式掃描。

然而，真正的危機或許才剛揭開序幕。雖然大型平台已陸續完成PHP更新，但全球仍有約半數網站仍然運行於已停止官方支援的舊版 PHP 之上，形成龐大的資安長尾效應。當防守方仍停留在傳統的人手更新及被動應對，攻擊者早已跨入全天候自動化獵殺的時代。各類機構當務之急是盤點網站資產，並安裝最新的安全更新，若因系統老舊無法即時升級，應果斷將網站切換至維護模式並暫時離線，同時部署網絡應用程式防火牆作為緩衝。這次「黑色十月」不僅是PHP漏洞危機，更是AI時代網絡防禦戰的正式序幕。

（作者為香港資訊科技商會榮譽會長方保僑。題為編輯擬定。以上內容純屬作者個人意見，並不代表本網立場。）