美國網絡安全機構 CISA 已確認，黑客正積極利用廣泛使用的 PHP Web 軟件中的兩個嚴重安全漏洞，並已下令美國政府內的民用聯邦機構在未來三天內修復系統。

這項緊急補丁警告發布還不到一週前，長期存在的 PHP Web 程序設計語言的維護方才剛推出針對這兩個漏洞的修復程式。這些漏洞允許黑客無需密碼即可透過互聯網遠端入侵存在漏洞的系統。報導稱，PHP 軟體被約 70% 面向 Web 的伺服器使用，使得大量網站和應用面臨風險。漏洞的嚴重程度之高，已促使一些政府和大型公司將網站下線以進行修復。

儘管這些漏洞被評為「嚴重」，意味著一旦被利用可能造成重大損害，但安全研究人員表示，最初要開發出可用的攻擊手段並不容易——但並非不可能。如今確認存在真實的攻擊，給各類機構帶來了更大的壓力，要求其盡快修補系統，以防止惡意入侵、服務中斷和數據洩露。

CISA 在週一的聲明中並未提供誰在利用這些漏洞的詳細信息，但在其聲明發布前不久，安全研究人員曾表示他們發現了 PHP 漏洞正在被利用的證據。

這些被稱為 PHP2Shell 的漏洞，是利用了軟體中多年來未被發現的缺陷。它們最初是在兩年前被發現的，但負責維護該軟體的非營利基金會當時表示，黑客沒有實際可行的方法來利用這些漏洞，因此一直沒有進行修補。直到今年早些時候，安全研究公司 Calif 的研究人員在一款 AI 模型的幫助下，找到了利用這兩個長期潛伏漏洞的方法。

PHP 中的這兩個漏洞，只是無數尚未被發現，或多年被擱置優先級的漏洞中的一部分；隨著 AI 模型在發現和利用漏洞方面能力的提升，包括通過串聯多個缺陷，這些漏洞如今也帶來了風險。

PHP 是眾多陳舊的 Web 技術之一，它們支撐著互聯網和現代技術的運行，但多年來一直面臨資源和資金不足的問題，這使得像 PHP 這樣的开源項目很難負擔安全審查，而這些審查本可能更早地發現漏洞。