關鍵數字
支撐全球無數網站運作的程式語言 PHP，爆出一個潛藏多年的嚴重漏洞。全球企業與政府正在加緊搶修，多國的銀行、航空、鐵路與政府網站已經緊急暫停部分服務，而駭客的攻擊嘗試更在短時間內從數千次暴增到數百萬次。這是全球仰賴 PHP 數十年以來，面臨最嚴峻的考驗之一。
事件的起點，是 PHP 開發團隊針對這個漏洞發布了修補程式，並呼籲所有使用者「立即更新」。特別的是，這個藏了多年的漏洞，是最近才被人工智慧揪出來的。但麻煩的是，漏洞的細節在修補程式備妥之前就已經外流，導致企業還來不及更新，攻擊就已經開始了。
歐洲與其他地區的政府在接獲消息後，已經預防性關閉部分網站；各地的網站營運商則忙著強化執行 PHP 的系統安全。這起事件凸顯了一個長期被忽略的事實：各國政府和企業對這種「少有人懂的程式碼」依賴極深，而它正是與 HTML、Python 並列的關鍵基礎建設。
微軟執行長在德國一場活動上坦言：「我已經很久、很久沒看過這種狀況了。」他表示，隨著系統日益複雜，打造能夠安全且持續維護的軟體變得更加重要。這句話點出了整起事件的深層焦慮：現代網路是堆疊在層層老舊但關鍵的程式碼之上，一旦底層出問題，影響是全面性的。
資安圈的描述更為急迫。一家比利時資安公司的共同創辦人指出，企業現在等於在跟「能利用 AI 發動攻擊的駭客」賽跑——攻擊方用 AI 加速找漏洞、自動化攻擊，防守方卻還在逐台更新系統，速度完全不在同一個量級。
攻擊規模的膨脹速度，可以從雲端服務商觀測到的數字看出來。在漏洞公布前 10 小時，就已經偵測到數千次攻擊嘗試；公布後的 45 分鐘內，暴增至數萬次；短短 2 小時內攀升至數十萬次；目前總數已經達到數百萬次。這種指數型成長，說明攻擊者早就備好自動化工具，只等漏洞細節曝光。
各國的應對方式不太一樣。日本受到的衝擊尤其明顯：野村證券、三菱日聯金融集團、全日空、JR 東日本，以及財務省、氣象廳、國稅廳，都暫停了部分網路服務。數據顯示，日本今年前 9 個月記錄到的網路安全事件，已經超過去年全年，資安壓力本來就在高點。
法國電信巨頭也預防性暫停旗下多家子公司部分以 PHP 建置的網站和應用程式；中國大型雲端服務商則呼籲客戶更新 PHP 版本，但沒有要求大規模關閉網站，採取相對溫和的路線。芬蘭的國營資訊服務機構在前一天關閉政府公共網站後，已經連夜安裝修補程式，並逐步恢復服務，算是反應較快的一例。
亞洲多國政府也在今天下令針對這次漏洞進行資安檢查。中國的工業和信息化主管部門呼籲各單位與使用者檢查系統，並升級到最新的安全版本；韓國則調高了民間部門的網路安全警戒等級，同時啟動緊急應變措施。
不過修補的速度並不一致。德國相關產業公會的安全部門主管指出，許多較大型的業者已經完成更新，但系統複雜的組織和資源較少的小型機構，可能需要耗費更多時間。這意味著未來一段時間，漏洞最多的地方可能不是大企業，而是那些沒人力、沒預算連夜搶修的中小網站。
關鍵數字
- 數千次：漏洞公布前 10 小時，已觀測到的攻擊嘗試次數，顯示有人提前動手
- 數萬次：漏洞公布後 45 分鐘內的攻擊嘗試，成長近十倍
- 數十萬次：公布後短短 2 小時內的累計攻擊，呈指數型攀升
- 數百萬次：目前累計的攻擊嘗試總數，規模仍在擴大
- 數十年：全球仰賴 PHP 的時間長度，也是這次衝擊如此全面的原因
- 前 9 個月超過去年全年：日本今年記錄到的網路安全事件數量，資安環境本已緊繃
這起事件給台灣的啟示也很直接。政府機關、銀行、交通與電商網站大量使用 PHP 建置，雖然這次沒有傳出本地災情，但同樣的劇本隨時可能重演。對一般使用者來說，能做的其實只有一件事：留意常使用的網站或 App 是否發布更新通知，盡快安裝。
對一般企業來說，這次事件最刺痛的一課是「看不見的依賴」。PHP 撐起了全球難以計數的網站，從電商結帳、銀行轉帳到政府申辦系統，背後都可能跑著同一套程式語言。平常沒人會去想它，一旦出事，卻是牽一髮動全身。這也是為什麼微軟執行長會說出「很久沒看過這種狀況」——不是漏洞本身多罕見，而是它一次撼動了整個網路地基。
另一個趨勢值得警惕：AI 正在同時改寫攻防兩端。這次是 AI 先揪出了藏了多年的漏洞，但同樣的能力也在攻擊者手上，自動化掃描、自動化利用，讓漏洞從曝光到被大規模濫用的時間壓縮到以分鐘計。資安公司形容企業在「跟能用 AI 攻擊的駭客賽跑」，這句話很可能就是未來幾年資安戰場的常態寫照。
後續值得關注的發展有三個：第一，是否會出現大規模的資料外洩或服務癱瘓案例；第二，AI 參與攻防之後，類似「潛藏多年、一夕引爆」的漏洞會不會越來越常見；第三，各國是否會因此重新檢討對老舊開源基礎設施的維護投入。畢竟這次是運氣好——漏洞是被 AI 揪出來、而且有修補程式可裝；下一次，未必有這麼好的劇本。
