近期，熱門網頁程式語言 PHP 被揭露兩項高風險漏洞 CVE-2026-109618 與 CVE-2026-109619，兩者均獲得 CVSS v4.0 9.2 分評級。攻擊者可在無需身份驗證的情況下遠端執行任意程式碼（RCE），相關攻擊鏈已被命名為「PHP2Shell」。由於 PHP 廣泛應用於電子商務平台、學習管理系統（LMS），以及 WordPress、Drupal、Joomla 等主流 CMS 平台，因此相關漏洞可能影響大量企業網站與網路服務。 然而，對企業而言，真正的挑戰並不只是修補漏洞，而是在漏洞公開後，能否快速評估自身風險、掌握攻擊活動，並了解是否已成為攻擊目標。 漏洞修補只是起點，真正挑戰在於風險判斷 隨著漏洞武器化速度持續加快，企業需要的不只是知道漏洞存在，更需即時掌握攻擊者動向、利用方式及潛在影響。透過結合威脅情報、威脅獵捕與主動偵測能力，才能有效縮短情報與行動之間的時間差，提升整體資安韌性。 當重大漏洞曝光後，SOC…

廣泛應用於網站及網上服務的 PHP，近日發現兩項嚴重漏洞，多地網絡安全機構已發出警報，呼籲企業盡快識別受影響系統並安裝安全更新。企業應全面盤點旗下 PHP 資產，並升級至已修補版本。針對企業尚未完成修補的「防護空窗期」，Akamai Technologies 已為 App & API Protector 客戶推出相關防護規則，協助阻擋攻擊嘗試，降低漏洞遭利用的風險。 盤點須涵蓋內置 PHP 的應用 PHP 近日發布安全公告，修補兩項嚴重的遠端程式碼執行（Remote Code Execution，RCE）漏洞，合稱為「PHP2Shell」，編號分別為…

PHP 安全團隊近日緊急發布更新，修補兩個合稱「PHP2Shell」的嚴重漏洞（CVE-2026-109618及CVE-2026-109619）。香港網絡安全事故協調中心（HKCERT）提醒，遠端攻擊者可利用相關漏洞執行未經授權的程式碼，企業及機構應盡快識別受影響系統，優先修補可經互聯網存取的服務，並檢查有否遭入侵。 今次風險不僅涉及網站伺服器。部分企業應用程式、網絡及保安設備、儲存與監控系統亦可能內嵌 PHP，成為日常資產及漏洞管理的盲點。網絡安全專家指出，AI 正加快漏洞分析及攻擊工具開發，進一步壓縮機構的應變時間。 想睇更多科技新聞，立即免費訂閱！ 內嵌版本與作業系統顯示未必一致 PHP 廣泛應用於公眾網站、內容管理系統及網站寄存平台，亦是部分第三方產品的底層技術。HKCERT 指出，不少企業設備的管理後台或運作元件可能使用 PHP，而內嵌版本未必與作業系統所顯示的版本一致。即使主要伺服器已完成更新，其他未納入管理清單的元件仍可能留下安全風險。 Sophos Counter Threat Unit 威脅情報副總裁 Don Smith 表示，當前挑戰不單是安裝修補程式，更在於識別及妥善管理所有正在運行 PHP…