![20261023_PHP_SC.jpg]( "20261023_PHP_SC.jpg")
全球广泛使用的服务器端编程语言 PHP，被发现两项合称「PHP2Shell」的严重漏洞。在未经授权的情况下，攻击者可利用相关漏洞，于服务器上执行恶意代码。
事件涉及全球大量公私营机构网站，受影响系统包括内容管理系统（CMS）、企业 Web 服务器、以及各大后端开发框架。漏洞公布后短时间内已出现大规模扫描及攻击尝试，不少地区的相关网站因而预防性紧急关闭，日常运营大受影响。
PHP 开发团队已紧急发布安全更新，呼吁用户立即更新网站，安装修补程序，否则应将网站离线，防范网络攻击。
对企业的影响：风险往往藏在看不见的地方
一. 网站不用 PHP 就安全？未必
不少企业以为，只要网站并非以 PHP 开发，就与这次漏洞无关。然而，企业日常使用的应用程序、网络设备、保安系统、存储装置及监控平台，其管理接口或内部组件均可能内嵌 PHP，而相关版本未必与 IT 部门所认知的版本一致。
这些「隐形 PHP」资产一旦不在清单之内，即使系统已完成更新，企业仍然处于风险之中。企业并非不愿修补，而是不清楚自己有多少系统需要修补。
二. 攻击毋须「人」配合，传统防御未必能够拦截
与钓鱼攻击不同，这次漏洞非因人为错误或数据外泄；攻击者只需扫描到对外开放的脆弱系统，便有机会直接入侵。
对于没有专责网络安全团队或24x7主动式监测系统的企业而言，这类「无声无息」的攻击最难察觉，亦最难及时应对。
三. 后果不止网站中断
一旦被成功入侵，攻击者不但可以窃取客户数据，甚至将服务器作为跳板发动进一步攻击。对受监管行业，如金融、医疗、电信而言，可能触发合规通报及罚款风险；即使不涉及监管程序，客户对数据外泄的容忍度亦日益降低，声誉损失往往比金钱损失更难修补。
企业应立即采取的应对措施
一. 全面盘点PHP资产
企业应尽快完成盘点所有运行 PHP 的系统，尤其是面向互联网的服务器，评估受影响范围。
二. 立即安装安全更新
立即将 PHP 升级至已修补的最新版本。如正在使用的PHP 8.1 或更旧版本，已不再获 PHP 官方支持，用户应尽快升级至受支持版本。
三. 未能实时修补：离线或隔离
如未能立即安装修补程序，应考虑暂时将受影响系统或网站离线，或与公共网络隔离，以降低遭受攻击的风险。
四. 检查有否异常或入侵迹象
检查系统纪录及网络流量，留意异常请求、未经授权的代码执行或其他可疑活动。
中信国际电讯CPC的TrustCSI云网神盾™：
以 AI SOC 填补企业防御缺口
面对高危漏洞，企业需要的不仅是一次性的修补，而是持续的可视性与主动防御能力。中信国际电讯CPC 的 TrustCSI云网神盾™，正是为填补企业在人力、时间及可视性上的缺口而设。
AI SOC 智防核心：安全运营自动化与智能化
以 AI 驱动的安全运营中心（AI SOC），全天候监察企业网络流量与系统活动。结合智能SIEM平台，进行智能关联分析，持续分析用户行为，缩短由「发现异常」到「确认威胁」之间的时间，为企业提供更快、更准的全天候安全分析和监控服务。对于需要在大量扫描中辨识真正攻击意图的场景，智能关联分析能力尤其关键。
专业网络安全专家团队24×7实时监察
AI SOC 背后，是一支 100% 持有国际认证（包括 CISA、CISSP 及 CompTIA Security+）的网络安全专家团队。中信国际电讯CPC 的三个安全运营中心分别位于香港、广州及上海，服务全球客户，为企业提供 24×7 不间断的监控与回应支持。
从被动修补走向主动防御
修补漏洞只是起点，企业更需要具备持续发现、验证及追踪威胁的能力，才能真正走在攻击者之前。中信国际电讯CPC 提供以下服务，协助企业建立完整的主动防御机制：
一. 资产盘点：TrustCSI™ IAS 资产梳理服务
要修补漏洞，先要清楚知道「有什么」需要修补。TrustCSI™ IAS 资产梳理服务协助企业全面掌握网络上的每一项资产，找出那些不在清单之内、容易被遗漏的隐藏系统，赶在攻击者之前堵住缺口。
透过关联分析及模拟攻击验证，主动发掘网络上暴露的资产，并确认侦测到的漏洞是否真实存在，避免误报或漏报。企业可借此掌握实际暴露面，优先处理真正高风险的系统。
三. 威胁追踪：主动还原攻击链
在实时威胁解除后，企业可基于网络流量与系统日志进行深入分析，主动还原完整的攻击链，追溯威胁来源。对于在大量扫描中隐藏真正攻击意图的威胁，威胁追踪有助企业及早识别针对性攻击，而非被动等待警报。
四. 持续监测: 攻击面管理
以外部非入侵方式，持续记录企业的数字足迹及网络资产，包括域名与 IP 地址，并就整体安全状况生成风险评级。这种持续监测有助企业及早发现暴露面变化，而非等到事故发生后才察觉。
如欲了解TrustCSI云网神盾™及更多信息安全服务，欢迎联络中信国际电讯CPC 的专业团队，预约免费安全评估及咨询，让我们协助你盘点网络资产、评估风险，并制定最切合你业务需要的防御策略。
资料来源：香港网络安全事故协调中心
