PHP爆發高風險安全漏洞 數發部緊急應變清查國內兩萬八千個受影響網站

近期網際網路資安領域傳出重大警訊，廣泛被全球網站開發人員使用的程式語言PHP爆出高風險的安全漏洞。針對這項潛在危機，數位發展部資通安全署在今天迅速作出回應，對外宣布已經全面啟動緊急應變機制，並且成立了專門的應處小組來監控與處理。資安署指出，經過初步普查與系統比對，目前在台灣大約有二萬八千個對外公開的網站採用PHP來建置與運行；其中，政府部門所屬的機關網站大約有兩百個使用此一技術。不過，資安署也特別強調，雖然使用該技術的網站數量不少，但實際遭到漏洞波及而受害的數量預期會顯著較少。針對受影響的系統，主管機關的最高指導原則是要求各單位儘速完成修補；只有在確認漏洞無法透過技術手段進行修補的極端情況下，才會建議相關單位採取將網頁暫時下架的預防性措施，以確保整體的資通安全防線不被突破。

深入探討此次事件的核心，PHP作為全球網頁伺服器端最普及的程式語言之一，長期以來支撐著無數的企業網站、內容管理系統以及政府入口網站。當這類基礎架構層級的技術爆發重大安全漏洞時，通常意味著攻擊者有可能利用該漏洞繞過身分驗證、執行任意程式碼，甚至取得系統的最高控制權。資安署在接獲相關情資後不敢怠慢，立刻依照既有的國家資通安全通報應變機制展開行動。成立專案小組的首要任務，便是針對國內使用PHP的公私部門進行大規模的風險清查與通報。透過自動化掃描工具與人工檢視並行的方式，資安署得以在最短的時間內掌握國內曝險的輪廓，並向各級機關發布防護指引，要求全面檢視目前運行的PHP版本，並密切關注官方釋出的修補程式與安全更新動態。

在清查的具體數據方面，資安署掌握到國內大約有兩萬八千個對外網站採用PHP技術。這個數字涵蓋了商業機構、中小企業以及各類民間網路服務，顯示PHP在台灣的數位經濟與資訊基礎建設中佔有相當高的市佔率。相較之下，政府機關內使用PHP的網站數量則相對較少，大約控制在兩百個左右。資安署進一步分析與釋疑指出，雖然總數看起來頗具規模，但「使用PHP」並不等於「必然受到漏洞攻擊」。實際受到該安全漏洞影響的系統數量，通常會因為伺服器所採用的具體版本、是否開啟了特定的功能模組，以及是否已經套用了先前層級的防護設定而有所不同。因此，實際受害的潛在數量預估會遠低於總使用網站數，民眾與企業無須過度恐慌，但絕對不能掉以輕心。

面對這波資安威脅，資安署也明確訂立了標準的處置SOP與應變層級。針對已經確認存在風險的網站，各主管機關與維運團隊首要之務就是進行版本升級與漏洞修補，套用軟體開發商最新釋出的安全性更新。然而，資安界常面臨的現實挑戰是，部分老舊系統因為開發商已經停止維護，或是程式碼經過高度客製化，導致升級修補的成本極高，甚至可能在修補後引發其他相容性問題。針對這類陷入困境、在技術上確實「無法修補漏洞」的棘手情況，資安署展現了務實且嚴格的態度，明確建議相關單位必須果斷採取預防性下架網頁的措施。寧可犧牲短期的對外服務可用性，也必須防止駭客組織透過漏洞入侵主機、竊取機敏資料或作為跳板攻擊其他內部網路。

從這次PHP安全漏洞事件可以深刻省思，現代企業與政府機關在數位轉型與網站建置的過程中，軟體供應鏈的安全管理與資產盤點是多麼關鍵的環節。任何一個底層程式語言的瑕疵，都可能在全球範圍內引發骨牌效應。資安署透過這次迅速成立專案小組、精準掌握國內曝險規模，並制定從修補到必要時下架的階梯式應變策略，展現了國家級資安防護的應變能力。然而，資安防護並非單靠政府單位的單打獨鬥，廣大民間企業、網站管理者以及系統維運商更應建立高度的資安意識，平時就應落實軟體資產盤點與定期更新的習慣。唯有當公私部門建立起緊密的聯防機制，並且在面臨危機時能夠果斷執行止血策略，台灣的數位環境才能在面對日益複雜且猖獗的資安威脅時，展現出足夠的韌性與防禦能力。

(事實來源:中央社)