![PHP 嚴重漏洞：你的業務受影響嗎？]( "PHP 嚴重漏洞：你的業務受影響嗎？")
全球廣泛使用的伺服器端程式語言 PHP，被發現兩項合稱「PHP2Shell」的嚴重漏洞。在未經授權的情況下，攻擊者可利用相關漏洞，於伺服器上執行惡意程式碼。
事件涉及全球大量公私營機構網站，受影響系統包括內容管理系統（CMS）、企業 Web 伺服器、以及各大後端開發框架。漏洞公布後短時間內已出現大規模掃描及攻擊嘗試，不少地區的相關網站因而預防性緊急關閉，日常營運大受影響。
PHP 開發團隊已緊急發布安全更新，呼籲用戶立即更新網站，安裝修補程式，否則應將網站離線，防範網絡攻擊。
對企業的影響：風險往往藏在看不見的地方
一. 網站不用 PHP 就安全？未必
不少企業以為，只要網站並非以 PHP 開發，就與這次漏洞無關。然而，企業日常使用的應用程式、網絡設備、保安系統、儲存裝置及監控平台，其管理介面或內部元件均可能內嵌 PHP，而相關版本未必與 IT 部門所認知的版本一致。
這些「隱形 PHP」資產一旦不在清單之內，即使系統已完成更新，企業仍然處於風險之中。企業並非不願修補，而是不清楚自己有多少系統需要修補。
二. 攻擊毋須「人」配合，傳統防禦未必能夠攔截
與釣魚攻擊不同，這次漏洞非因人為錯誤或資料外洩；攻擊者只需掃描到對外開放的脆弱系統，便有機會直接入侵。
對於沒有專責網絡保安團隊或24x7主動式監測系統的企業而言，這類「無聲無息」的攻擊最難察覺，亦最難及時應對。
三. 後果不止網站中斷
一旦被成功入侵，攻擊者不但可以竊取客戶資料，甚至將伺服器作為跳板發動進一步攻擊。對受監管行業，如金融、醫療、電訊而言，可能觸發合規通報及罰款風險；即使不涉及監管程序，客戶對資料外洩的容忍度亦日益降低，聲譽損失往往比金錢損失更難修補。
企業應立即採取的應對措施
一. 全面盤點PHP資產
企業應盡快完成盤點所有運行 PHP 的系統，尤其是面向互聯網的伺服器，評估受影響範圍。
二. 立即安裝安全更新
立即將 PHP 升級至已修補的最新版本。如正在使用的PHP 8.1 或更舊版本，已不再獲 PHP 官方支援，用戶應盡快升級至受支援版本。
三. 未能即時修補：離線或隔離
如未能立即安裝修補程式，應考慮暫時將受影響系統或網站離線，或與公共網絡隔離，以降低遭受攻擊的風險。
四. 檢查有否異常或入侵跡象
檢查系統紀錄及網絡流量，留意異常請求、未經授權的程式碼執行或其他可疑活動。
中信國際電訊CPC的TrustCSI雲網神盾™：
以 AI SOC 填補企業防禦缺口
面對高危漏洞，企業需要的不僅是一次性的修補，而是持續的可視性與主動防禦能力。中信國際電訊CPC 的 TrustCSI雲網神盾™，正是為填補企業在人力、時間及可視性上的缺口而設。
AI SOC 智防核心：安全營運自動化與智能化
以 AI 驅動的安全運作中心（AI SOC），全天候監察企業網絡流量與系統活動。結合智能SIEM平台，進行智能關聯分析，持續分析用戶行為，縮短由「發現異常」到「確認威脅」之間的時間，為企業提供更快、更準的全天候安全分析和監控服務。對於需要在大量掃描中辨識真正攻擊意圖的場景，智能關聯分析能力尤其關鍵。
專業網絡安全專家團隊24×7實時監察
AI SOC 背後，是一支 100% 持有國際認證（包括 CISA、CISSP 及 CompTIA Security+）的網絡安全專家團隊。中信國際電訊CPC 的三個安全運作中心分別位於香港、廣州及上海，服務全球客户，為企業提供 24×7 不間斷的監控與回應支援。
從被動修補走向主動防禦
修補漏洞只是起點，企業更需要具備持續發現、驗證及追蹤威脅的能力，才能真正走在攻擊者之前。中信國際電訊CPC 提供以下服務，協助企業建立完整的主動防禦機制：
一. 資產盤點：TrustCSI™ IAS 資產梳理服務
要修補漏洞，先要清楚知道「有什麼」需要修補。TrustCSI™ IAS 資產梳理服務協助企業全面掌握網絡上的每一項資產，找出那些不在清單之內、容易被遺漏的隱藏系統，趕在攻擊者之前堵住缺口。
透過關聯分析及模擬攻擊驗證，主動發掘網絡上暴露的資產，並確認偵測到的漏洞是否真實存在，避免誤報或漏報。企業可藉此掌握實際暴露面，優先處理真正高風險的系統。
三. 威脅追蹤：主動還原攻擊鏈
在即時威脅解除後，企業可基於網絡流量與系統日誌進行深入分析，主動還原完整的攻擊鏈，追溯威脅來源。對於在大量掃描中隱藏真正攻擊意圖的威脅，威脅追蹤有助企業及早識別針對性攻擊，而非被動等待警報。
四. 持續監測: 攻擊面管理
以外部非入侵方式，持續記錄企業的數字足跡及網絡資產，包括域名與 IP 位址，並就整體安全狀況生成風險評級。這種持續監測有助企業及早發現暴露面變化，而非等到事故發生後才察覺。
如欲了解TrustCSI雲網神盾™及更多信息安全服務，歡迎聯絡中信國際電訊CPC 的專業團隊，預約免費安全評估及諮詢，讓我們協助你盤點網絡資產、評估風險，並制定最切合你業務需要的防禦策略。
資料來源：香港網絡安全事故協調中心
