一种支撑全球约75%网站的程式语言PHP，21日被披露存在两个严重漏洞并紧急发布补丁，黑客可在程式代码运行前实施遥距控制，事件引发欧洲多国政府网站一度下线。

香港网络安全事故协调中心发出公告，指相关漏洞的风险极高，建议各机构立即为所有受影响的资产套用修补程式。若无法即时修补，应考虑将面向互联网的应用程式与公共网络隔离，直至安全修补程式已套用并完成验证。数字政策办公室亦向所有政府决策局／部门及公营机构发出保安警报，要求尽快完成系统修补工作。\大公报记者　梁慕云

数字办昨日表示，高度关注有关广泛被应用于全球网站后端运作的程式语言PHP所存有的严重安全漏洞。数字办已向所有政府决策局／部门及公营机构发出保安警报，截至目前并未接获任何相关网络保安事故报告。

未及修补系统须暂时离线

数字办指，已要求所有相关部门及机构即时全面检视其资讯系统有否受影响，并必须尽快完成系统修补工作，否则相关系统须暂时离线或隔离，以降低被恶意入侵的风险。同时，数字办已为托管所有政府决策局／部门主页的网站寄存服务完成所需的系统修补工作。

数字办呼吁公众及机构立即为所有受影响的系统安装修补程式。香港网络安全事故协调中心昨日已向公众发布「保安公告」及公报。如有需要，可经电邮（hkcert@hkcert.org）、电话（8105 6060）或网上表格向香港网络安全事故协调中心寻求协助。

香港网络安全事故协调中心表示，PHP是全球广泛使用的伺服器端程式语言，支援大量网站，包括使用WordPress、Joomla及Drupal等内容管理系统（CMS）的网站。根据公开资料，PHP的应用覆盖全球超过75%的网站。根据VirusTotal估算，全球有超过510万部PHP主机连接互联网，当中约380万部开放至少一个连接埠，令相关漏洞成为攻击者的主要目标。

企业网络安全管理盲点

中心提醒，今次漏洞的潜在风险并不限于一般网站伺服器。不少企业日常使用的应用程式、网络及保安设备、储存及监控系统等，其管理后台或运作元件亦可能内嵌PHP，而相关PHP版本未必与作业系统所显示的版本一致，容易成为企业网络安全管理的盲点。机构除了检查网站伺服器，更应立即全面盘点所有可能使用PHP的产品、服务及对外系统，并主动向供应商确认受影响范围及修补安排。

中心亦指出，今次事件亦反映人工智能正加快网络安全的攻防速度。根据公开资料，相关PHP漏洞早于2026年8月已由安全研究人员运用AI技术发现，并通报PHP团队进行修补。随着漏洞资料公布，多家网络安全机构亦侦测到针对相关PHP漏洞的大规模扫描及攻击行为。