美國網絡安全機構 CISA 已確認，駭客正在積極利用廣泛使用的 PHP Web 軟體中的兩個嚴重安全漏洞，並已下令美國政府內的民用聯邦機構在未來三天內修復系統。
在這項緊急補丁警告發布不到一週前，長期存在的 PHP 網頁程式語言維護方剛剛推出了針對這兩個漏洞的修復程式。這些漏洞允許駭客無需密碼即可透過網際網路遠端入侵存在漏洞的系統。報導指出，PHP 軟體被約 70% 的面向網頁的伺服器使用，使大量網站和應用程式面臨風險。由於漏洞嚴重程度極高，一些政府和大型企業已將網站下線以進行修復。
儘管這些漏洞被評為「嚴重」，意味著一旦被利用可能造成重大損害，但安全研究人員表示，最初要開發出可用的攻擊手段並不容易——但並非不可能。如今確認存在真實攻擊，給各類機構帶來了更大壓力，要求其盡快修補系統，以防止惡意入侵、服務中斷和資料洩露。
CISA 在週一的聲明中未提供有關誰在利用這些漏洞的細節，但其聲明發布前不久，安全研究人員曾表示，他們發現了 PHP 漏洞正被利用的證據。
這些被稱為 PHP2Shell 的漏洞，利用了軟體中多年未被發現的缺陷。它們最早於兩年前被發現，但當時負責維護該軟體的非營利基金會表示，駭客並無實際可行的方法來利用這些漏洞，因此一直未進行修補。直到今年早些時候，安全研究公司 Calif 的研究人員在一款 AI 模型的協助下，找到了利用這兩個長期潛伏漏洞的方法。
PHP 中的這兩個漏洞，只是無數尚未被發現或多年被擱置優先級的漏洞中的一部分；隨著 AI 模型在發現和利用漏洞方面的能力提升，包括透過串聯多個缺陷，這些漏洞如今也帶來了風險。
PHP 是眾多支撐互聯網和現代技術運行的舊式 Web 技術之一，但多年來一直缺乏資源和資金，這使得像 PHP 這樣的開源項目難以負擔安全審查，而這些審查本可能更早發現漏洞。