PHP开发团队宣布将发布补丁，修复两处严重安全漏洞。按照通用漏洞评分系统（CVSS）4.0版的标准，两处漏洞的严重程度均达到9.2分。欧盟计算机应急响应小组（CERT-EU）与澳大利亚网络安全中心（ACSC）已相继发布安全公告，敦促各机构在补丁发布后立即完成修复，无法及时修复的机构应考虑将受影响的网站暂时下线。
PHP是互联网上部署范围最广的服务端脚本语言之一。网络安全公司Huntress在博客中表示，从WordPress、Drupal、Joomla和Magento等主流内容管理与电商系统，到共享主机平台、管理面板，再到许多未标明底层技术栈的软件，背后均有PHP提供支持。这一广泛的装机基础，使得相关漏洞的影响面难以在短时间内准确评估。
根据CERT-EU发布的安全公告，9.2分的评分表明两处漏洞存在未经身份验证即可远程执行代码的风险。攻击者可能利用此类漏洞，在无需登录的情况下远程运行恶意代码。CERT-EU敦促各机构提前做好补丁发布后立即修复受影响系统的准备。ACSC提出了类似建议，要求各机构排查使用PHP的系统、准备安装补丁，并监测应用程序是否存在恶意活动迹象。该中心目前尚未发现有人实际利用这些漏洞发动攻击。
网站托管服务商GoDaddy警告称，攻击者可能利用漏洞通过互联网在受影响的服务器上执行代码，进而导致数据被盗、网站内容遭到篡改，甚至整个系统被攻陷。对于依赖共享主机的中小企业而言，这类风险往往意味着业务中断与数据泄露的叠加影响。
PHP安全团队表示，补丁发布时将一并公布漏洞详情、受影响的版本以及修复版本的信息。CERT-EU和ACSC指出，PHP 5及之后的所有版本都有可能受到影响，但PHP开发团队尚未公布具体哪些版本存在漏洞。这一信息缺口意味着，在补丁与版本清单正式发布前，运维团队难以精确圈定需要优先处置的资产范围。
过去一天，有关使用PHP的网站可能遭到严重网络入侵的猜测在业内持续流传。从漏洞披露的节奏看，官方选择在补丁就绪前不公开技术细节，属于常见的负责任披露做法，但也客观上压缩了企业安全团队的准备窗口。对于运行PHP 5等已停止维护版本的系统，升级路径可能涉及框架与插件的兼容性改造，修复周期将明显长于常规补丁安装。
此次事件再次将基础软件供应链的安全治理问题推到台前。PHP作为大量企业网站与开发者工具链的底层依赖，其漏洞的修复效率不仅取决于官方补丁的发布速度，也取决于托管服务商、CMS厂商与终端机构之间的协同。对于短期内无法完成升级的机构，临时下线受影响站点虽会带来业务损失，但在远程代码执行风险面前，仍是被监管机构明确建议的止损选项。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
