PHP 重大漏洞震撼全球！5大防骇客自保方法一次看

PHP是全球约70%网站使用的底层程式语言，多数人却从未听过。21日，全球许多地区的民众一觉醒来，就得知PHP出现可遭骇客利用的漏洞，企业和政府急忙寻求修补方法。

美国国家安全局（NSA）警告，攻击者可能利用漏洞控制网页伺服器，窃取资料、中断服务，或透过民众日常使用的服务，在网路内部横向移动。专家指出，修补责任主要在于软体供应商及服务业者，但民众仍可采取基本措施自保。以下是路透整理的五大要点。

启用多因素验证（MFA）

MFA要求使用者提供2种验证方式才能登入受保护的网站，例如密码搭配简讯验证码或安全金钥。网路安全公司Censys首席安全研究员奥斯汀（Emily Austin）建议，民众应为不同网站设定独立密码，并定期查看交易纪录。她坦言，面对PHP漏洞，终端使用者「实际上真的没有太多能做的事」，只能寄望所依赖的服务未使用PHP，或服务业者正积极修补漏洞。

启用自动更新

网路安全公司Trail of Bits执行长暨共同创办人吉多（Dan Guido）建议民众「开启手机、电脑及家用路由器的自动更新功能」。企业通常会在已知漏洞有修补程式可用时发布安全更新，及时安装可缩短不法分子利用漏洞的时间。

Granitt创办人、数位安全专家桑德维克（Runa Sandvik）表示，民众应及时更新装置上的App与服务，也别忽略家中其他连网设备。她指出，有些家庭的物联网（IoT）设备可能很少更新，甚至从未更新，建议向供应商确认是否有更新可用。

尽快装补丁程式

萨里大学（University of Surrey）讲师加德姆（Dr. Daniel Gardham）表示，AI时代的攻击者占有优势，企业及组织必须知道自己用哪些软体、及时安装补丁程式，并检查系统是否已遭入侵。他说：「寻找漏洞正变得愈来愈快、愈来愈容易，但要修补各种依赖这些软体的系统，却困难得多。组织能否妥善处理这项落差，将决定人工智慧究竟会让网际网路更安全，还是更加脆弱。」

提防诈骗分子

网路安全技术公司0rcus共同创办人暨执行长亚当斯（Nic Adams）表示，每当重大网路安全威胁登上新闻，诈骗分子和网路犯罪者就会试图趁机行骗，民众应提防未经请求而收到的连结。他说：「当这类新闻出现时，应自行开启受影响公司的App，或输入公司网址查看官方指示。对于要求你『保护帐户安全』的紧急讯息，更要仔细查证。」

勿重复使用密码

美国银行家协会（American Bankers Association）风险、诈欺与网路安全执行副总裁班达（Paul Benda）表示，在PHP漏洞曝光后，向不熟悉的零售商购物，或使用「安全防护不会像你的银行那么完善」的网站时，更应小心。

班达建议，消费者不要在不同购物网站重复使用密码，并尽可能改用通行金钥（passkey）。这是专供特定网站使用的数位金钥，登入时无须输入密码，也具备防范网路钓鱼攻击的特性。