PHP資安補破網 金管會大動員

全球網站爆發重大危機，覆蓋近七成網站的開發語言PHP爆出資安漏洞，多國政府提出緊急應變。金管會資訊服務處處長林裕泰22日出面說明，稱已針對這次災情緊急處理，22日一早即對所有金融業發布緊急災情情資通報，由於平常F-ISAC（金融資安資訊分享與分析中心）會對金融業對外漏洞監控，已針對有漏洞曝險的業者進行通知。

　就此事件對台灣影響而言，林裕泰說，實際影響數正蒐集處理，暫不便對外公布，但台灣金融業實際使用PHP的比重，低於全球的七成。此一事件，除了日本首相高市早苗發文示警，美國國家安全局也呼籲網站需立即修補，金管會接獲重大漏洞情資後，迅速啟動緊急應變，採取以下三大防護作為：

　首先是「發布緊急災情情資通報」，向全體金融機構發出情資通報，包含漏洞性質、嚴重程度，並有具體的系統修補與升級等內容，若金融機構暫時沒辦法處理，也提供暫時性的緩解辦法。

　其次為「發布情資」。已於F-ISAC（金融資安資訊分享與分析中心）網站上公告此緊急情資，提醒會員密切留意，主要是PHP存在兩項重大遠端程式碼執行漏洞，請業者儘速評估，並進行修補作業。

　三是「持續監測及通知」。F-ISAC平常即有監測金融業對外系統，針對特定的資安漏洞掃描，現在逐一提醒有漏洞的金融業處理中，包含系統修復、漏洞防堵等。

　金管會強調，會持續監控國內金融業者修補、復原的進度，其中F-ISAC也推出五項建議措施，一是官方已發布修補程式，建議依據單位內漏洞管理機制進行相關作業；二是據情資顯示，攻擊者極可能已使用AI工具，根據本次更新前後的程式碼差異製作自動化攻擊方式，如無法即時更新，建議評估暫時停止相關服務或採取網路隔離措施，以降低遭攻擊風險。

　三是針對無法立即更新的PHP環境，建議參考原廠公告評估適用的暫時性緩解措施，包括調整記憶體限制、限制HTTP請求大小及停用特定功能等，上述措施無法完整修補漏洞，仍應儘速套用官方安全更新；四是建議應確認資通設備、應用程式是否使用PHP，並持續關注修補版本發布情形；五是建議使用特定解決方案的單位可確認相關防護規則部署及設定情形，並儘速套用PHP官方安全更新。

查看原始新聞

※ 本文由《工商時報》授權刊載，未經同意禁止轉載。

點我加《工商時報》LINE好友，財經新聞不漏接