全球廣泛使用的網頁程式語言PHP上個月被發現存在兩項嚴重安全漏洞。數碼發展及新聞部高級政務部長陳傑豪在國會表示，目前沒有證據顯示我國政府系統或關鍵信息基礎設施系統的相關漏洞遭成功利用。
漏洞披露後，政府科技局和網絡安全局迅速採取防護措施。政府除了要求機構和供應商申報，也主動掃描系統，包括第三方應用程式中的PHP組件，並持續監測可疑網絡活動。
政府提醒企業及時修補安全漏洞，並通過CyberSG Cyber Safe等計劃，為中小企業提供最高七成的共同資助。政府也計劃儘快推出網絡安全事故援助熱線，協助遇到網絡攻擊的企業。
全球廣泛使用的網頁程式語言PHP上個月被發現存在兩項嚴重安全漏洞。政府表示，目前沒有證據表明，政府系統或關鍵信息基礎設施系統中的相關漏洞遭到利用，但仍須保持警惕。
數碼發展及新聞部高級政務部長陳傑豪在國會答覆議員詢問時表示，這兩項漏洞可能讓攻擊者在未經身份驗證的情況下，遠程執行程序代碼，甚至控制受影響的網頁伺服器。
他指出，漏洞被披露後，政府科技局和網絡安全局迅速同政府機構和關鍵信息基礎設施業者合作，識別受影響的系統，並採取防護措施。對於無法立即修補漏洞的系統，當局也採取了其他防護措施。
政府也進行了追溯檢查，尋找系統之前可能遭入侵的跡象。不過，由於追溯檢查未必能發現所有入侵事件，當局將繼續監測可疑或惡意網絡活動。
政府主動掃描系統 不只依賴供應商申報
陳傑豪說，除了要求政府機構和供應商申報，當局也會主動掃描系統，識別可能存在漏洞的PHP組件，包括嵌入第三方應用程式中的組件。
一旦發現潛在漏洞，當局會同相關政府機構和供應商進一步核實，確認系統是否受到影響，以及是否需要修補。
根據《網絡安全實踐守則》，關鍵信息基礎設施業者必須保存系統資產和相關依賴組件的清單，並建立漏洞識別和管理程序。
針對這次PHP安全漏洞，業者也必須同供應商合作，識別可能受影響的產品。
陳傑豪表示，政府將繼續評估現有的漏洞管理規定是否足夠，包括針對由第三方供應商維護的系統。
中小企業可獲最高七成共同資助
陳傑豪指出，人工智慧正加快安全漏洞的發現，也提高了網絡攻擊的速度和規模。企業不應等到發生數據泄露事件後，才著手處理已知漏洞。
考慮到中小企業可能缺乏專門的網絡安全團隊和資源，他表示，網絡安全局的CyberSG Cyber Safe計劃和其他政府支持措施，可協助企業加強網絡安全防護，其中多項措施可獲得政府高達七成的共同資助。
政府也提供援助，讓企業聘請專業網絡安全公司進行漏洞檢測和滲透測試。
此外，政府計劃儘快推出網絡安全事故援助熱線，讓企業，尤其是中小企業，在遭遇網絡安全事故、不知如何應對時，能夠尋求協助。
