網站程式語言PHP嚴重漏洞 黑客可輕易入侵 港數字辦促公營機構檢視網站安全
一種支撐全球約75%網站的程式語言PHP，21日被披露存在兩個嚴重漏洞並緊急發布補丁，黑客可在程式代碼運行前實施遙距控制，事件引發歐洲多國政府網站一度下線。
香港網絡安全事故協調中心發出公告，指相關漏洞的風險極高，建議各機構立即為所有受影響的資產套用修補程式。若無法即時修補，應考慮將面向互聯網的應用程式與公共網絡隔離，直至安全修補程式已套用並完成驗證。數字政策辦公室亦向所有政府決策局／部門及公營機構發出保安警報，要求盡快完成系統修補工作。\大公報記者 梁慕雲
數字辦昨日表示，高度關注有關廣泛被應用於全球網站後端運作的程式語言PHP所存有的嚴重安全漏洞。數字辦已向所有政府決策局／部門及公營機構發出保安警報，截至目前並未接獲任何相關網絡保安事故報告。
未及修補系統須暫時離線
數字辦指，已要求所有相關部門及機構即時全面檢視其資訊系統有否受影響，並必須盡快完成系統修補工作，否則相關系統須暫時離線或隔離，以降低被惡意入侵的風險。同時，數字辦已為託管所有政府決策局／部門主頁的網站寄存服務完成所需的系統修補工作。
數字辦呼籲公眾及機構立即為所有受影響的系統安裝修補程式。香港網絡安全事故協調中心昨日已向公眾發布「保安公告」及公報。如有需要，可經電郵（hkcert@hkcert.org）、電話（8105 6060）或網上表格向香港網絡安全事故協調中心尋求協助。
香港網絡安全事故協調中心表示，PHP是全球廣泛使用的伺服器端程式語言，支援大量網站，包括使用WordPress、Joomla及Drupal等內容管理系統（CMS）的網站。根據公開資料，PHP的應用覆蓋全球超過75%的網站。根據VirusTotal估算，全球有超過510萬部PHP主機連接互聯網，當中約380萬部開放至少一個連接埠，令相關漏洞成為攻擊者的主要目標。
企業網絡安全管理盲點
中心提醒，今次漏洞的潛在風險並不限於一般網站伺服器。不少企業日常使用的應用程式、網絡及保安設備、儲存及監控系統等，其管理後台或運作元件亦可能內嵌PHP，而相關PHP版本未必與作業系統所顯示的版本一致，容易成為企業網絡安全管理的盲點。機構除了檢查網站伺服器，更應立即全面盤點所有可能使用PHP的產品、服務及對外系統，並主動向供應商確認受影響範圍及修補安排。
中心亦指出，今次事件亦反映人工智能正加快網絡安全的攻防速度。根據公開資料，相關PHP漏洞早於2026年8月已由安全研究人員運用AI技術發現，並通報PHP團隊進行修補。隨着漏洞資料公布，多家網絡安全機構亦偵測到針對相關PHP漏洞的大規模掃描及攻擊行為。
