PHP两大高危漏洞引发全球警报 欧洲政府网站紧急下线
SingTao · 2 SOURCESabout 5 hours ago5 MIN
Summary
全球常用的服务器端编程语言PHP，近日被披露存在两项高危安全漏洞，促使多国政府和网络安全机构同步发出紧急警报。 由于相关攻击可在应用代码尚未开始运行前，通过未经验证的网页请求触发，荷兰已将多个公共服务网站预防性下线，芬兰也暂停了政府公共网络服务，事件影响迅速从技术圈扩展到公共服务领域。
Key Points
- 两项漏洞编号分别为CVE-2026-109618和CVE-2026-109619，严重程度评分均为9.2分，涉及内存处理及内部状态管理问题，可让未经身份验证的攻击者远程执行代码。
- PHP官方表示，所有处理网页请求的PHP安装都应评估风险，其中Apache搭配mod_php的部署方式风险最高；已展示的攻击甚至可在应用代码启动前触发。
- 官方已发布PHP 8.5.12、8.4.27、8.3.36及8.2.35修补版本；PHP 8.1及更旧分支已停止常规官方支持，用户需联系供应商确认补丁或安排升级。
- 荷兰政府于当地时间10月21日下午宣布，DigiD、MijnOverheid、Overheid.nl以及荷兰国家网络安全中心网站等多个公共服务平台已预防性下线。
- 香港资讯科技商会荣誉会长方保侨提醒，网站管理员和企业信息技术团队应立即盘点系统并安装补丁；若短期内无法修复，应暂停开放或切换至维护模式。
Why It Matters
对香港读者和机构而言，风险不只存在于普通网站。日本信息处理推进机构提醒，PHP还可能嵌入软件产品及网络设备，如果只检查前台网站而忽略后台系统，排查就可能出现盲点。 再加上Cloudflare已观察到早期攻击，说明漏洞细节公开后，攻击者可能很快就会把目标转向尚未更新的系统。
这次事件之所以引发全球高度警戒，不仅因为漏洞评分高，也因为攻击门槛相对直接。PHP官方指出，所有处理网页请求的安装环境都需要重新评估风险，而Apache搭配mod_php的配置尤其危险，因为攻击可以通过未经验证的请求，在应用代码开始运行前就被触发。 这意味着，即使网站表面看起来运作正常，只要底层环境尚未更新，系统仍可能在用户毫无察觉的情况下被入侵。
欧洲多国政府的应对也显示，这并非单纯影响商业网站的技术问题。荷兰政府确认，多个公共服务网站已预防性停止服务，包括电子身份认证服务DigiD、政府个人服务平台MijnOverheid、Overheid.nl，甚至荷兰国家网络安全中心自身网站也一度暂停开放。 荷兰当局在10月21日下午表示，当时尚未发现漏洞遭主动利用的迹象，但仍建议网站负责人先评估风险，有需要时先下线，并在更新推出后尽快安装。 芬兰也采取了预防措施，暂停政府公共网络服务。
除荷兰和芬兰外，英国国家网络安全中心、欧盟电脑保安事故应变组织CERT-EU、澳大利亚网络安全中心、德国联邦信息安全办公室以及斯洛伐克SK-CERT也已发布警报，要求相关机构尽快修补。 CERT-EU进一步建议，若无法及时完成更新，应考虑将对外应用与公共网络隔离，待补丁安装并完成验证后再恢复服务。 官方同时强调，临时缓解措施只能降低部分攻击路径的风险，不能视为系统已经完全安全，真正完整的修复方式仍是更新版本。
在香港层面，方保侨的提醒相当明确。他指出，PHP可被视为网站后台的“大脑与处理器”，一旦出现这类高危漏洞，黑客就有机会在未经授权的情况下控制服务器。 因此，网站管理员和企业信息技术团队当前最重要的工作，是尽快完成系统盘点，确认哪些网站、服务、软件产品或设备正在使用受影响版本，并按照官方及服务供应商指引安装补丁。 如果网站架构复杂，短时间内无法完成升级，就不应抱有侥幸心理，而应暂停开放或切换至维护模式。
还需要注意的是，风险未必只来自机构主动维护的网站。日本信息处理推进机构提醒，PHP除了用于网站，也可能嵌入其他软件产品和网络设备，机构应在可行情况下盘点使用情况，并留意供应商公告。 对仍在使用已停止支持旧版本的网站而言，风险更高，因为漏洞信息一旦公开，攻击者可能在极短时间内发动攻击。 另一方面，这次漏洞由研究人员借助人工智能协助发现，也再次引发外界对AI双重作用的关注：它既能加快漏洞发现，也可能加速攻击工具开发。
目前，美国白宫表示，联邦机构正评估事件对政府系统及关键基础设施的潜在影响。 至于漏洞是否已经被实际利用，路透社引述Cloudflare称，已看到早期攻击出现。 这意味着，对仍未更新的机构来说，问题已不只是“关注风险”，而是要尽快落实修补、隔离或暂停服务等具体处置。
这次事件之所以引发全球高度警戒，不仅因为漏洞评分高，也因为攻击门槛相对直接。PHP官方指出，所有处理网页请求的安装环境都需要重新评估风险，而Apache搭配mod_php的配置尤其危险，因为攻击可以通过未经验证的请求，在应用代码开始运行前就被触发。 这意味着，即使网站表面看起来运作正常，只要底层环境尚未更新，系统仍可能在用户毫无察觉的情况下被入侵。
欧洲多国政府的应对也显示，这并非单纯影响商业网站的技术问题。荷兰政府确认，多个公共服务网站已预防性停止服务，包括电子身份认证服务DigiD、政府个人服务平台MijnOverheid、Overheid.nl，甚至荷兰国家网络安全中心自身网站也一度暂停开放。 荷兰当局在10月21日下午表示，当时尚未发现漏洞遭主动利用的迹象，但仍建议网站负责人先评估风险，有需要时先下线，并在更新推出后尽快安装。 芬兰也采取了预防措施，暂停政府公共网络服务。
除荷兰和芬兰外，英国国家网络安全中心、欧盟电脑保安事故应变组织CERT-EU、澳大利亚网络安全中心、德国联邦信息安全办公室以及斯洛伐克SK-CERT也已发布警报，要求相关机构尽快修补。 CERT-EU进一步建议，若无法及时完成更新，应考虑将对外应用与公共网络隔离，待补丁安装并完成验证后再恢复服务。 官方同时强调，临时缓解措施只能降低部分攻击路径的风险，不能视为系统已经完全安全，真正完整的修复方式仍是更新版本。
在香港层面，方保侨的提醒相当明确。他指出，PHP可被视为网站后台的“大脑与处理器”，一旦出现这类高危漏洞，黑客就有机会在未经授权的情况下控制服务器。 因此，网站管理员和企业信息技术团队当前最重要的工作，是尽快完成系统盘点，确认哪些网站、服务、软件产品或设备正在使用受影响版本，并按照官方及服务供应商指引安装补丁。 如果网站架构复杂，短时间内无法完成升级，就不应抱有侥幸心理，而应暂停开放或切换至维护模式。
还需要注意的是，风险未必只来自机构主动维护的网站。日本信息处理推进机构提醒，PHP除了用于网站，也可能嵌入其他软件产品和网络设备，机构应在可行情况下盘点使用情况，并留意供应商公告。 对仍在使用已停止支持旧版本的网站而言，风险更高，因为漏洞信息一旦公开，攻击者可能在极短时间内发动攻击。 另一方面，这次漏洞由研究人员借助人工智能协助发现，也再次引发外界对AI双重作用的关注：它既能加快漏洞发现，也可能加速攻击工具开发。
目前，美国白宫表示，联邦机构正评估事件对政府系统及关键基础设施的潜在影响。 至于漏洞是否已经被实际利用，路透社引述Cloudflare称，已看到早期攻击出现。 这意味着，对仍未更新的机构来说，问题已不只是“关注风险”，而是要尽快落实修补、隔离或暂停服务等具体处置。