全球广泛使用的网页编程语言PHP上个月被发现存在两项严重安全漏洞。数码发展及新闻部高级政务部长陈杰豪在国会表示，目前没有证据显示我国政府系统或关键信息基础设施系统的相关漏洞遭成功利用。
漏洞披露后，政府科技局和网络安全局迅速采取防护措施。政府除了要求机构和供应商申报，也主动扫描系统，包括第三方应用程序中的PHP组件，并持续监测可疑网络活动。
政府提醒企业及时修补安全漏洞，并通过CyberSG Cyber Safe等计划，为中小企业提供最高七成的共同资助。政府也计划尽快推出网络安全事故援助热线，协助遇到网络攻击的企业。
全球广泛使用的网页编程语言PHP上个月被发现存在两项严重安全漏洞。政府表示，目前没有证据表明，政府系统或关键信息基础设施系统中的相关漏洞遭到利用，但仍须保持警惕。
数码发展及新闻部高级政务部长陈杰豪在国会答复议员询问时表示，这两项漏洞可能让攻击者在未经身份验证的情况下，远程执行程序代码，甚至控制受影响的网页服务器。
他指出，漏洞被披露后，政府科技局和网络安全局迅速同政府机构和关键信息基础设施业者合作，识别受影响的系统，并采取防护措施。对于无法立即修补漏洞的系统，当局也采取了其他防护措施。
政府也进行了追溯检查，寻找系统之前可能遭入侵的迹象。不过，由于追溯检查未必能发现所有入侵事件，当局将继续监测可疑或恶意网络活动。
政府主动扫描系统 不只依赖供应商申报
陈杰豪说，除了要求政府机构和供应商申报，当局也会主动扫描系统，识别可能存在漏洞的PHP组件，包括嵌入第三方应用程序中的组件。
一旦发现潜在漏洞，当局会同相关政府机构和供应商进一步核实，确认系统是否受到影响，以及是否需要修补。
根据《网络安全实践守则》，关键信息基础设施业者必须保存系统资产和相关依赖组件的清单，并建立漏洞识别和管理程序。
针对这次PHP安全漏洞，业者也必须同供应商合作，识别可能受影响的产品。
陈杰豪表示，政府将继续评估现有的漏洞管理规定是否足够，包括针对由第三方供应商维护的系统。
中小企业可获最高七成共同资助
陈杰豪指出，人工智能正加快安全漏洞的发现，也提高了网络攻击的速度和规模。企业不应等到发生数据泄露事件后，才着手处理已知漏洞。
考虑到中小企业可能缺乏专门的网络安全团队和资源，他表示，网络安全局的CyberSG Cyber Safe计划和其他政府支持措施，可协助企业加强网络安全防护，其中多项措施可获得政府高达七成的共同资助。
政府也提供援助，让企业聘请专业网络安全公司进行漏洞检测和渗透测试。
此外，政府计划尽快推出网络安全事故援助热线，让企业，尤其是中小企业，在遭遇网络安全事故、不知如何应对时，能够寻求协助。
