PHP开发者于2026年10月20日披露了两个严重漏洞，并在10月21日上午10点（美国东部时间）发布了修复补丁。荷兰和芬兰的政府网站已作为预防措施下线，安全公司Wordfence警告称，修复这些问题需要采取超出WordPress自动更新范围的操作。
关键要点
- PHP开发者将这两个漏洞的严重性评分定为9.2分（满分10分）。
- 有关部门敦促立即修补，或暂时将网站隔离。
- Cloudflare的防火墙调整只是临时措施，不能替代补丁。
严重PHP漏洞威胁广泛使用的网站
PHP开发者在10月20日披露了两个严重漏洞，严重性评分为9.2分（满分10分）。安全补丁于10月21日上午10点（美国东部时间）发布。
网络安全公司watchTowr将这些漏洞描述为远程代码执行漏洞：攻击者可以在受影响的服务器上运行自己的代码，进而可能篡改网站或窃取数据。官员表示，从PHP 5开始的版本都可能受到影响。
网络安全公司Huntress在一篇博客中表示，这门编程语言为WordPress、Drupal、Joomla和Magento提供支持，也用于共享主机平台和控制面板。WordPress在2025年表示，它支撑着超过40%的互联网。一名安全研究人员估计，可能有超过130万个联网主机受到影响。
政府网站因攻击迹象而下线
荷兰和芬兰的政府机构于10月21日作为预防措施关闭了网站。荷兰网络安全机构也因这些漏洞关闭了自己的官网。
欧洲、澳大利亚、日本和英国的网络安全机构敦促PHP用户立即更新，或在补丁可用前暂停网站运行。欧洲联盟计算机应急响应小组和英国国家网络安全中心建议，无法立即修补的组织应将面向互联网的应用与公共网络隔离，或直接下线。
GrapheneOS则暂时关闭了其用户讨论论坛，理由是发现了概念验证利用代码的开发。PHP开发者Gina Peter Banyard表示，打补丁是唯一的缓解措施，并称关闭服务器可能是最稳妥的替代方案。
据报道，黑客已经开始利用这些漏洞。Cloudflare首席技术官Dane Knecht报告称，早期攻击已经出现；安全研究机构Sansec则表示，他们预计“在发布后15分钟内就会出现大规模攻击”。
WordPress更新不会自动修复PHP漏洞
Wordfence警告称，WordPress的自动更新不会安装PHP补丁。该安全插件提供商表示，每个WordPress网站都运行在使用PHP的服务器上，并敦促网站所有者确认由谁负责管理该服务器上的PHP更新，以便手动应用修复。
对于应对PHP严重漏洞的网站所有者，相关机构的建议是立即修补，或让受影响系统保持离线，直到能够确保安全。
Cloudflare正在更新其防火墙规则，以应对不断出现的利用尝试，但Knecht强调这种保护只是临时性的。他在X上写道：“我们看到早期攻击正在出现，并会随着新的攻击向量出现而更新缓解措施。这只是一个临时措施。请在PHP发布更新后尽快打补丁。”
本文由人工智能协助生成，并经编辑团队审核。
