【一文看懂】PHP資安漏洞風暴　用戶自保的五個方法

作為全球約7成網站底層程式碼的PHP程式語言，本週被人工智慧（AI）發現兩個存在數十年的嚴重漏洞，駭客則藉機利用AI對全球網站發動無數次攻擊，各國政府與企業都忙著修補。

美國國家安全局（NSA）警告，攻擊者可利用PHP漏洞接管網站伺服器，竊取資料、中斷服務，或在網路中橫向移動，波及一般人每天都在使用的服務。

由於AI模型日益強大，而且愈來愈容易使用，許多長期潛藏在軟體中的缺陷如今更容易被找出，但也成為駭客可利用的漏洞。

路透社引述專家指出，雖然軟體供應商與服務客戶的機構應負起修補漏洞的主要責任，但一般人也都該採取一些基本措施保護自己。以下是有助維護個人資安的五種方法。

一、使用多重要素驗證

多重要素驗證（MFA）要求以兩種方式驗證身分才能進入受保護的網站，例如密碼加上簡訊驗證碼或安全金鑰。資安公司Censys首席資安研究員奧斯汀（Emily Austin）建議，不同網站使用不同的密碼，並留意帳戶的各項交易。
但奧斯汀坦言，面對這次PHP漏洞的情況，一般使用者能做的不多，「只能期望自己依賴的服務沒有使用 PHP，或是已有人正在積極修補」。

二、開啟「自動更新」

資安公司Trail of Bits 執行長暨共同創辦人吉多（Dan Guido）建議大家開啟手機、電腦與家用路由器的「自動更新」功能，如此儘速安裝修補程式，縮短駭客入侵時間。
即便如此，大部分修補工作仍須仰賴經營網站的公司來應對，「訪問網站的人即使每件事都做對了，例如使用雙重驗證，資料仍可能外洩。」

吉多說，網站經營者「必須更快修補漏洞，並限制損害」。

資安新創公司Granitt創辦人、數位安全專家桑德維克（Runa Sandvik）說，各種應用程式與服務只要有更新時，使用者都應立即更新。他強調，家中各種連網設備也別忘了更新。

三、修補、修補、再修補

英國薩里大學（University of Surrey）網路安全中心講師賈爾罕（Daniel Gardham）博士表示，各機構必須清楚自己運行哪些軟體、迅速修補，並檢查是否已遭入侵。

他表示，AI時代是駭客較居優勢，「雖然找出漏洞更快、更容易，但要在所有依賴這套軟體的系統上完成修補，困難得多。各機構如何應對其中的時間落差，將決定AI會讓網際網路更安全，還是更脆弱。」

四、慎防詐騙

資安公司0rcus執行長亞當斯（Nic Adams）說，每當重大資安威脅登上新聞，詐騙分子與網路罪犯就會設法趁機牟利。他強調，要對不明連結提高警覺。

亞當斯說：「看到這類新聞時，應透過受影響公司的app確認訊息，或自己輸入公司網址。如果是收到緊急訊息，要你『保護帳戶』，那就應該格外提防。」

五、避免來路不明的網站

美國銀行家協會（American Bankers Association）風險、詐欺與網路安全執行副總裁班達（Paul Benda）表示，自從尖端AI模型問世以來，各銀行一直在為這一刻做準備，「非常努力確保惡意行為者不再有唾手可得的目標」。

不過班達也表示，如今的世界正處於網路威脅的「新常態」。尤其在PHP漏洞事件之後，消費者在來路不明的零售商或網站購物時要多加留意，因為這些網站的「資安防護不如銀行」。

班達說，消費者在不同的購物網站都不應使用同樣的密碼，應考慮使用通行密鑰（passkey）。通行密鑰是針對特定網站的數位金鑰，並非藉由密碼登入網站，可抵禦網路釣魚。