欧盟机构建议网站考虑因PHP漏洞而离线

欧盟网络安全应急响应团队建议无法应用针对两个严重PHP漏洞修复的网站考虑将其网站下线。利用这两个漏洞中的任何一个都可能使攻击者无需认证即可夺取对网络服务器的控制权。

PHP支撑着互联网的很大一部分，为从WordPress博客到Magento在线商店的平台提供动力。但这两个漏洞的技术细节在补丁发布之前就公开了。

攻击者获得了先机

据Huntress称，泄露发生在10月20日，早于预期的公告时间。PHP基金会的安全团队随后将发布时间设定为10月21日14:00 UTC。

PHP安全团队提前通知：即将于2026年10月21日周三14:00 UTC发布安全更新，两个关键漏洞，CVSSv4评分均为9.2。

鼓励PHP用户准备更新。如果细节公开或有活跃的利用证据，将提前发布。

— The PHP Foundation (@ThePHPF) October 20, 2026

据Huntress报道，安全公司watchTowr成功复现了这两个漏洞中的一个。Huntress指出，尚未在其客户的系统中观察到任何利用行为。

然而，Cloudflare的首席技术官Dane Knecht表示，攻击已经在进行中。该公司已为所有客户（包括免费计划用户）实施了覆盖已识别攻击向量的防火墙规则。

我们正在看到早期攻击出现，并随着新攻击向量的出现更新缓解措施。这只是临时解决方案。

Knecht在X上发布了这一警报。

据Reuters报道，European Union Computer Emergency Response Team (CERT-EU)和澳大利亚网络安全机构警告称，这些PHP漏洞可能影响从PHP 5开始的所有版本。

Huntress指出，一些研究人员预计补丁仅针对当前受支持的PHP 8版本。这种情况可能导致运行较旧、不受支持的PHP版本的网站没有任何补救措施。

这一警告是在超过100家公司警告AI驱动的网络攻击可能在数月内激增几周后发出的。

PHP漏洞对网站所有者意味着什么

据W3Techs称，在可识别服务器端语言的网站中，约69%使用PHP。仅WordPress就占所有网站的大约40%。

CERT-EU表示，9.2的严重等级表明具有未经认证的远程代码执行能力。简单来说，外部行为者可以在无需任何登录凭据的情况下在服务器上执行恶意代码。

网络托管提供商GoDaddy警告称，攻击者可能窃取数据、篡改网站或完全接管系统。被盗记录的价值从韩国银行的数据泄露中可见一斑。

安全插件Wordfence指出，每个WordPress网站都在PHP服务器上运行。然而，WordPress的自动更新机制无法解决这些PHP漏洞。因此，网站所有者必须确定谁负责他们的PHP管理。

针对日常基础设施的事件持续增加，10月份法国超市冰箱被黑事件就是例证。这些PHP漏洞将威胁转移到支撑大部分网络的软件层，在这个层面，一次服务器更新遗漏就可能创造入口点。