AI時代PHP漏洞曝資安風險　專家提5招守護網路安全

（路透底特律22日電）全球許多人昨天一早得知，大多數人從未聽過但卻支撐約70%網站的程式語言PHP，出現一個可被駭客利用的漏洞，迫使企業與政府紛紛緊急展開修補行動。

儘管PHP的漏洞存在底層程式碼本身，但美國國家安全局（NSA）警告，攻擊者可能會利用這些漏洞控制網頁伺服器，進而竊取資料、中斷服務或在一般人日常仰賴的各種服務網路中移動。

專家表示，防護責任主要落在軟體供應商與服務客戶的組織身上，但每個人都應該採取一些基本步驟，以維護自身安全。

● 啟用多重要素驗證

多重要素驗證（multi-factor authentication, MFA）是指進入受保護的網站時，需通過兩種形式的驗證，例如密碼加上簡訊驗證碼或安全金鑰。資安公司Censys首席安全研究員奧斯汀（Emily Austin）建議，民眾應為每個網站設置獨特密碼，並留意任何交易紀錄。

奧斯汀說：「但實際上，針對PHP漏洞這類情況，除了祈禱自己所依賴的服務不是使用PHP，或有人正在積極進行修補外，一般終端使用者其實束手無策。」

PHP漏洞是近期接二連三冒出的嚴重軟體漏洞之一，在日益強大且易於取得的大型語言模型推波助瀾下，情況變得更加嚴重。在受到廣泛使用的軟體中，一些長期未被發現的漏洞，曾因太過晦澀或複雜而難以被人類利用，如今卻變得更容易被挖掘與轉化為武器。

● 將硬體更新設為自動執行

網路安全公司Trail of Bits執行長兼共同創辦人基多（Dan Guido）建議民眾「開啟手機、電腦與家用路由器的自動更新」。企業通常會在已知漏洞的修補程式 發布時，同時釋出安全性更新，因此及時安裝這些更新可縮短惡意分子趁虛而入的窗口。

基多表示，即便如此，消費者仍受制於他們仰賴的服務。他說：「就算造訪網站的人做對了每件事，例如使用雙重要素驗證，他們的資料還是可能外洩。你根本無法自行修補醫院網站漏洞。」

基多指出，大部分的工作都落在提供服務的公司身上，「他們必須更快速發布修補程式，並限制遭駭系統可能造成的損害」。

Granitt創辦人兼數位安全專家桑德維克（Runa Sandvik）表示，民眾只要看到裝置的應用程式與服務有更新釋出時，就應該立即更新，同時別忘了家裡各處的連網裝置。

桑德維克說：「我可以預見一種情境，就是有些人家中使用某些物聯網（IoT）裝置，這些裝置沒有常常更新，甚至可能完全沒有更新。值得和廠商再次確認，看看是否有可用的更新。」

● 修補、修補、再修補

英國薩里網路安全中心（Surrey Centre for Cyber Security）及薩里大學（University of Surrey）講師加德漢（Daniel Gardham）博士表示，各大組織必須清楚掌握他們使用的軟體、及時修補漏洞，並檢查是否已遭入侵。加德漢補充說，在人工智慧（AI）時代，攻擊者掌握優勢。

加德漢指出：「發現漏洞會變得愈來愈快、愈來愈容易，但要在依賴這些軟體的各式系統中修補漏洞，如今變得困難許多。組織如何管理這中間的差距，將決定AI究竟是讓網路變得更安全，還是更脆弱。」

● 慎防詐騙者

資安公司0rcus共同創辦人兼執行長亞當斯（Nic Adams）表示，每當重大網路安全威脅登上新聞頭條時，詐騙分子與網路犯罪分子就會企圖趁機行騙。

亞當斯呼籲提防陌生連結。他說：「當這些新聞頭條出現時，請自行開啟相關應用程式，或親自輸入網站網址，查看受影響公司的指示。如果收到要求『保護帳戶安全』的緊急訊息，都應格外謹慎查證。」

● 銀行資金仍安全

美國銀行家協會（American Bankers Association）風險、詐騙與網路安全部門執行副總裁班達（Paul Benda）表示，自前沿模型問世以來，各大銀行一直在為這個時刻做準備，並「付出極大的努力，確保不再有任何容易讓不法分子下手的漏洞」。

然而，班達補充說，就網路威脅而言，「我們已進入一個新常態」，消費者必須保持警覺，尤其是在PHP漏洞事件之後，當在來路不明的零售商或網站購物時，必須格外小心，因為這些網站的「安全性不如你的銀行完善」。

班達表示，消費者不應在不同購物網站間重複使用相同密碼，應考慮在可能的情況下使用通行密鑰，這是專為特定網站設置的數位金鑰，使用者無須輸入密碼就能登入網站，並能防範網路釣魚攻擊。中央社（翻譯）