广泛应用于网站和网络应用开发的PHP编程语言正面临一次紧急安全更新。PHP开发团队计划于2026年10月21日发布针对两项严重安全漏洞的修复补丁。由于漏洞可能允许攻击者在未经身份验证的情况下远程执行代码，欧洲网络安全机构已建议相关组织尽快完成修复；如果暂时无法更新，部分网站可能需要隔离网络访问，甚至暂时关闭服务，以降低遭到攻击的风险。
}Xk_
xQVt{ 3s| :7 根据PHP开发团队发布的安全公告，两项漏洞的严重程度评分均为9.2分，采用的是满分10分的CVSS v4.0漏洞评分体系。开发团队要求所有PHP用户提前做好准备，并在修复版本发布后尽快升级。公告同时表示，如果漏洞细节提前公开，或发现漏洞正在遭到实际利用，补丁也可能提前发布。
n_rpT .[ /F9Dg<#a PHP是互联网基础设施中使用极为广泛的服务器端编程语言。许多网站依靠它生成网页、处理用户请求、连接数据库以及执行后台业务逻辑。包括WordPress、Drupal、Joomla和Magento在内的主流内容管理系统及电商平台，都广泛使用PHP。因此，这次漏洞的潜在影响并不限于某一款软件或某一类网站，而可能波及大量互联网服务。
g \q4- <"6\\#}VG 其中，WordPress的影响范围尤其值得关注。WordPress去年公布的数据显示，该平台支撑着全球超过40%的网站。网络安全公司Wordfence指出，WordPress网站通常运行在安装了PHP的服务器上，因此，只要底层PHP环境存在未修复的漏洞，相关网站就可能面临风险。
IiRQ-,t1 $T#fCx/ 安全研究人员估计，可能受到影响的联网主机数量超过130万台。不过，这一数字属于研究人员的初步估算，并不意味着所有相关主机都已经遭到入侵，也不能据此认定所有网站都必然会受到同等程度的影响。
L1 I1SFG u{va2n/ 远程代码执行漏洞之所以危险，是因为攻击者可能通过网络向存在缺陷的服务器发送特制请求，在不需要合法账户或登录凭据的情况下执行恶意代码。一旦攻击成功，后果可能包括篡改网站页面、窃取服务器上的数据、植入恶意程序，甚至进一步控制整个服务器。对于保存用户个人资料、客户信息或交易记录的网站而言，遭到入侵还可能引发更广泛的数据泄露与业务中断。
k0N>J8y [&4+
<Nl' 安全研究机构watchTowr表示，根据目前流出的相关信息，这两项漏洞可能影响从PHP 5开始的多个版本。不过，在PHP官方完整披露漏洞细节和受影响版本清单之前，具体影响范围仍需要以正式公告为准。
]" e'z 
N$ #~& 更棘手的是，网站管理员不能仅仅依靠WordPress的自动更新功能解决问题。Wordfence特别提醒，这次漏洞存在于PHP本身，而不是WordPress核心程序或某个插件之中。因此，即使网站已经自动更新WordPress核心和插件，服务器实际运行的PHP环境仍可能需要单独升级。
T
iL.py, U}DE9e{/! 对于使用虚拟主机的用户，PHP通常由主机服务商负责维护；如果网站运行在自行管理的虚拟专用服务器、云服务器或独立服务器上，维护责任则可能落在网站所有者或系统管理员身上。网站运营者需要确认当前使用的PHP版本、服务器由谁管理，以及服务商是否会及时部署修复版本。
;-JF b$m E:M,nSc)53 欧洲网络安全应急响应团队（CERT-EU）和英国国家网络安全中心均已发布警告，建议无法立即完成修复的组织，暂时将面向互联网的应用与公共网络隔离，或者直接让相关网站下线，直到漏洞得到有效缓解。欧盟方面特别指出，漏洞可能允许攻击者在不登录系统的情况下执行恶意代码，因此组织应提前识别受影响资产，并做好紧急更新准备。
/*>}y$ GDC@s<[k 部分机构已经采取预防措施。移动操作系统GrapheneOS的开发团队表示，由于针对漏洞的概念验证攻击代码正在开发中，为避免承担不必要的风险，已暂时关闭其用户讨论论坛。PHP开发者吉娜·彼得·巴尼亚德也表示，安装补丁是解决问题的关键；如果无法及时修复，关闭服务器可能是较为稳妥的选择。
D!OY <? R`DzVBLl 网络安全研究人员还警告称，补丁发布后，攻击者可能迅速分析修复前后的代码差异，从中找出漏洞利用方法，并对尚未更新的服务器发动大规模攻击。安全研究机构Sansec预计，补丁公开后短短15分钟内，就可能出现大规模攻击活动。该预测并不代表攻击必然会在这一时间内发生，但反映出安全行业对漏洞公开后风险迅速扩大的担忧。
^`i z%^ n{<} <SVY 与此同时，Cloudflare首席技术官戴恩·克内希特表示，平台已经观察到针对运行PHP网站的早期攻击迹象。Cloudflare正在临时调整防火墙规则，以便在官方补丁发布前提供额外防护。不过，他强调，这些措施只能作为过渡方案，不能替代正式修复。
B|"/bQ [e
zt u9 澳大利亚网络安全中心则表示，当时尚未发现与这两项漏洞有关的已确认利用活动，并建议组织尽快盘点内部运行PHP的系统、提前准备补丁，并持续监控应用程序是否出现异常。不同安全机构对攻击情况的表述有所差异，意味着威胁情报仍在快速变化，网站运营者不应仅凭尚未确认大规模攻击，就认为自身系统处于安全状态。
ub fh4 7S
8X) 对于普通网站所有者而言，此次事件最重要的教训是：网站安全不仅取决于内容管理系统和插件是否保持最新，还取决于服务器底层运行环境是否得到及时维护。即便网站平时很少更新内容，只要仍通过互联网提供服务，底层软件的严重漏洞就可能成为攻击入口。
AZ4?N.X? RQ[/s
lg PHP官方计划在2026年10月21日14时协调世界时发布修复版本，对应北京时间22时。开发团队表示，届时将进一步公布漏洞细节、受影响版本以及修复版本信息。网站管理员应在官方更新发布后，尽快确认服务商或自身服务器是否已经完成修复，并在必要时检查系统日志及异常活动。
6nE/8m Li|~% E1 随着PHP补丁即将发布，全球大量网站将进入紧急维护阶段。此次事件的风险不仅来自漏洞本身，也来自互联网中数量庞大的旧版本服务器，以及网站所有者可能无法及时完成更新的现实。对于无法立即修复且直接暴露于互联网的关键系统，暂时限制访问或下线，可能比继续冒险运行更为安全。
YkMFU'?[ j;E$7QH[ 了解更多：
1goRO OomC%9/=, https://www.php.net/index.php 4Eu'_>"a
微博帐号登录