歐盟機構建議網站考慮離線以因應PHP漏洞

歐盟網路緊急應變小組建議，無法針對兩個嚴重的PHP漏洞進行修補的網站，應考慮讓其離線。任何一個漏洞遭利用，攻擊者無需身份驗證即可奪取網頁伺服器的控制權。

PHP支撐著網路相當大的一部分，驅動從WordPress部落格到Magento線上商店等平台。然而，這兩個漏洞的技術細節在修補程式發布前就已公開。

攻擊者搶得先機

根據Huntress的說法，外洩事件發生在10月20日，早於預定的公告日期。PHP基金會的安全團隊隨後將發布時間設定為10月21日14:00 UTC。

PHP安全團隊提前通知：即將於2026年10月21日週三14:00 UTC發布安全性更新，包含兩個重大漏洞，兩者均評定為CVSSv4 9.2。

建議PHP用戶準備更新。若細節公開或出現主動漏洞利用證據，則可能提前發布。

— PHP基金會 (@ThePHPF) 2026年10月20日

安全公司watchTowr成功複製了其中一個漏洞，Huntress報導。Huntress指出，其客戶系統中尚未觀察到任何漏洞利用。

Cloudflare的技術長Dane Knecht則表示，攻擊已經在進行中。該公司已為所有客戶（包括免費方案用戶）實施了涵蓋已知攻擊途徑的防火牆規則。

我們看到早期攻擊正在出現，並隨著新攻擊途徑的出現而更新緩解措施。這只是權宜之計。

Knecht在X上發布了這則警報。

歐盟電腦緊急應變小組（CERT-EU）和澳洲網路安全機構均警告，這些PHP漏洞可能影響從PHP 5開始的所有版本，據路透社報導。

Huntress指出，一些研究人員預期僅針對目前受支援的PHP 8版本發布修補程式。這可能使得運行舊版、不受支援PHP版本的網站沒有任何補救措施。

這項警告發布於超過100家公司警告人工智慧驅動的網路攻擊可能在數月內激增的幾週之後。

PHP漏洞對網站擁有者的意義

根據W3Techs，PHP用於大約69%的網站（在可識別伺服器端語言的網站中）。WordPress單獨就佔了所有網站的約40%。

CERT-EU表示，9.2的嚴重性評級意味著未經身份驗證的遠端程式碼執行能力。簡單來說，外部行為者無需任何登入憑證即可在伺服器上執行惡意程式碼。

網頁代管供應商GoDaddy警告，攻擊者可能竊取資料、竄改網站或完全接管系統。遭竊記錄的價值從韓國銀行資料外洩事件中可見一斑。

安全外掛Wordfence指出，每個WordPress網站都運行在PHP伺服器上。然而，WordPress的自動更新機制無法解決這些PHP漏洞。因此，網站擁有者必須確定誰負責他們的PHP管理。

針對日常基礎設施的事件持續增加，10月份的法國超市冰箱駭客攻擊即為一例。這些PHP漏洞將威脅移到了支撐網路大部分的軟體層，在該層中，一個未更新的伺服器就可能創造一個入侵點。