PHP 修補嚴重漏洞 歐盟網絡機構籲離線防範
PHP 程式語言開發者計劃於週三發布兩個嚴重漏洞的修補程式，歐盟網絡安全機構警告，未能即時修補的機構應考慮將受影響網站離線。漏洞評分高達 9.2，容許未經認證的遠端程式執行，可能導致數據外洩或網站被篡改。
PHP 程式語言的開發團隊於週三表示，將會為兩個嚴重漏洞發布修補程式。與此同時，歐盟的網絡安全官員警告，未能即時安裝修補程式的機構，應考慮將受影響的網站離線。
PHP 廣泛應用於互聯網多個層面，過去一天已有消息流傳，指使用該軟件的網站可能面臨嚴重的網絡入侵風險。網絡安全公司 Huntress 在網誌中指出，PHP 遍佈各處，包括 WordPress、Drupal、Joomla 及 Magento 等平台，以至共享寄存主機、控制面板及大量未有公開表明使用 PHP 的軟件。
PHP 在安全更新中表示，兩個漏洞在 CVSS v4.0 嚴重性評分中均獲 9.2 分，並呼籲用戶「一旦有更新版本，應盡快升級」。修補程式原定於格林尼治標準時間下午二時發布。雲端安全公司 Cloudflare 的技術總裁 Dane Knecht 在社交平台 X 上指出，已開始出現針對這些漏洞的攻擊，Cloudflare 正更新防火牆規則作為臨時措施，但強調唯一解決方案是安裝 PHP 的正式修補程式。
歐盟電腦緊急應變小組（CERT-EU）在週二發出的建議中表示，9.2 的評分反映存在未經認證的遠端程式執行風險，此類漏洞可讓攻擊者無需登入，即在易受攻擊的系統上執行惡意程式碼。CERT-EU 呼籲機構做好即時修補受影響資產的準備，未能做到者應考慮將受影響網站離線。
澳洲網絡安全中心（ACSC）亦發出類似指引，敦促機構識別環境中的 PHP 系統，準備安裝修補程式，並監察應用程式有無可疑活動。ACSC 表示，目前未發現有關漏洞的活躍攻擊。寄存服務供應商 GoDaddy 指出，這些漏洞可能讓攻擊者透過互聯網在受影響伺服器上執行程式碼，繼而造成數據被盜、網站被篡改或系統被完全控制。
WordPress 網站的安全插件 Wordfence 提醒，所有 WordPress 網站均運行於安裝了 PHP 的伺服器上，自動更新並不會套用今次修補，網站負責人應查明由誰負責更新 PHP。PHP 安全團隊表示，漏洞詳情、受影響版本及已修正版本的資料，將會在修補程式發布時一併公開。CERT-EU 及 ACSC 指出，由 PHP 5 起的所有版本均可能受影響，但 PHP 方面至今未有披露哪些版本存在漏洞。