PHP漏洞危機：歐盟網絡安全機構警告網站或需離線
廣泛應用的PHP程式語言被發現兩個嚴重漏洞，評分高達9.2。歐盟網絡安全機構警告，無法即時修補的機構應考慮將受影響網站離線。PHP開發團隊已承諾在本周三發布修補程式。
PHP程式語言的開發團隊周三宣布，將針對兩個嚴重漏洞發布修補程式。與此同時，歐盟網絡安全官員警告，無法即時套用修補程式的機構應考慮將受影響網站離線。
PHP廣泛應用於互聯網多個領域，過去一天已有傳言指，運行PHP軟件的網站可能面臨嚴重網絡入侵風險。網絡安全公司Huntress在博客中指出，PHP無處不在，低調地支援WordPress、Drupal、Joomla及Magento等網站、共享寄存平台、控制面板，以及大量未有標明使用PHP的軟件。
PHP在安全更新中表示，兩個漏洞在CVSS v4.0嚴重性評分均為9.2，並敦促用戶「盡快在修補程式可用時升級」。修補程式原定於周三格林威治標準時間下午2時發布。雲端安全公司Cloudflare NET.N的技術總裁Dane Knecht表示，攻擊正在湧現，Cloudflare正更新防火牆規則作為臨時措施。他在X平台上指出，他們看到早期攻擊正在出現，並隨新攻擊向量出現而更新緩解措施，但強調這只是臨時方案，用戶須在PHP發布更新後盡快修補。
歐盟電腦應急小組（CERT-EU）周二在建議中表示，9.2評分意味存在未經認證的遠端程式碼執行風險，攻擊者可無需登入即在易受攻擊的系統上執行惡意程式碼。CERT-EU敦促機構準備即時修補受影響資產，未能做到者應考慮將受影響網站離線。澳洲網絡安全中心（ACSC）亦發出類似指引，呼籲機構識別環境中的PHP系統，準備套用修補程式，並監測應用程式有否出現惡意活動跡象。ACSC表示，目前未發現這些漏洞已被積極利用。
網站寄存服務供應商GoDaddy表示，這些漏洞可能容許攻擊者透過互聯網在受影響伺服器上執行程式碼，可能導致數據被盜、網站被篡改或系統完全被入侵。Wordfence安全插件警告，所有WordPress網站均運行於安裝了PHP的伺服器，自動更新將無法套用修補，建議網站負責人找出誰負責更新其網站的PHP。PHP安全團隊表示，漏洞詳情、受影響版本及修補版本將在修補程式發布時公布。CERT-EU及ACSC表示，由PHP 5起的所有版本可能受影響，但PHP尚未透露哪些版本有漏洞。
