PHP 高危漏洞泄露：欧盟建议网站关停

据 Woofun AI 消息，欧盟计算机应急响应团队（）向全球网站管理员发出紧急警示，要求那些无法立即修补两个严重 漏洞的服务商考虑暂时关闭网站。

这一极端建议的背景是，两个 CVSSv4 评分均为 9.2 的高危漏洞细节已在原定公开时间前泄露，导致攻击窗口被强行打开。PHP 基金会安全团队原本计划于 2026 年 10 月 21 日 14:00 UTC 发布修复补丁，但因安全公司 已成功复现其中一处漏洞，且 首席技术官 确认早期攻击已经开始，修复工作被迫加速。鉴于这些漏洞允许攻击者在无需任何登录凭证的情况下直接控制网页服务器，造成未经身份验证的远程代码执行，欧盟方面认为，在补丁部署完成前的真空期，关停服务是阻断潜在数据窃取和系统沦陷的唯一有效手段。

Woofun AI 整理数据显示，此次漏洞的影响范围远超预期，不仅限于最新版本的 PHP 用户。CERT-EU 明确指出，从 PHP 5 版本开始的所有历史版本均暴露在风险之中，这意味着大量运行在老旧基础设施上的网站无法通过常规更新获得保护。 的分析进一步揭示了生态系统的脆弱性：在服务器端语言已知的网站中，约 69% 依赖 PHP 技术，而仅 就支撑着大约 40% 的网站流量。

然而，WordPress 自带的自动更新功能仅能处理应用层代码，无法修复底层 PHP 引擎的漏洞，这导致网站所有者必须自行追踪并管理 PHP 环境的更新状态。更令人担忧的是，部分研究人员推测官方补丁可能仅针对受支持的 PHP 8 版本，这将使使用旧版本的用户彻底失去官方救济途径，沦为网络攻击的'孤儿'目标。

与此同时，Huntress 虽未在其客户系统中发现利用迹象，但 Cloudflare 已为包括免费用户在内的所有客户部署了针对已知攻击路径的防火墙规则，Dane Knecht 强调这仅是临时应急措施，随着新攻击手段的出现，防护规则需持续迭代。

从攻击动机与潜在后果来看，此次漏洞泄露正值人工智能驱动的网络攻击激增的前夜。此前已有 100 多家企业发出警告，预测未来几个月内此类自动化攻击将大幅上升。网页托管服务提供商 指出，攻击者利用这些漏洞可窃取高价值数据、破坏网站功能甚至完全控制系统，其危害程度不亚于此前韩国银行遭入侵事件中暴露出的记录泄露风险。正如 10 月份法国超市冰箱被黑客攻击事件所揭示的那样，针对日常数字基础设施的攻击正在不断蔓延，而此次 PHP 漏洞则将压力直接转移到了支撑互联网大部分内容的软件层。只要服务器更新被忽略一次，攻击者即可打开大门。

这种'零信任'环境下的底层崩溃风险，使得从 在线商店到各类博客平台都面临严峻考验，任何延迟更新的决策都可能转化为巨大的合规与财务损失。