#PHPCriticalVulnerabilityHitsGovernmentWebsites

PHP 的一項重大漏洞引發全球安全應變，政府機關與公共機構暫時讓網站下線，以降低遭受網路攻擊的風險。

我最擔心的不只是有多少網站下線，而是網路有多少部分仰賴某些軟體，而這些軟體可能正在組織甚至不知道需要更新的地方執行。

1. 實際發生了什麼事？

10 月 21 日，PHP 開發團隊發布緊急安全更新，修補兩項重大漏洞：CVE-2026-109618 和 CVE-2026-109619。

這兩項漏洞的 CVSS 嚴重性評分均為 10 分中的 9.2 分，可能讓攻擊者在受影響系統上無須驗證即可遠端執行程式碼。

簡單來說，攻擊者可能無須先登入，就能在受影響的伺服器上執行惡意程式碼。視系統和權限而定，這可能導致資料暴露、進一步遭入侵或服務中斷。

在管理員致力於保護基礎設施期間，數個歐洲國家的政府網站已預防性下線。

2. 影響可能進一步擴大嗎？

是，風險可能不限於已受影響的政府入口網站。

PHP 為大量網站提供動力，也用於內容管理系統、線上服務和應用程式。有些產品也會在幕後內建 PHP，這表示即使組織自己的應用程式堆疊中看不出 PHP，也可能受到影響。

最大的挑戰是找出每一個受影響的安裝項目，包括較舊的伺服器、遭遺忘的應用程式和第三方系統。

安全研究人員也通報了遭利用活動的跡象。因此，從發現漏洞到套用適當修補程式之間的時間尤其重要。

然而，漏洞廣泛存在並不代表每個 PHP 網站都已遭到入侵。網站停機可能是預防性關閉，而非成功遭受攻擊的證據。

3. 為什麼這攸關網際網路基礎設施

現代數位服務彼此相連。如果易受攻擊的伺服器也連接到內部系統、資料庫或其他服務，暴露的可能不只是一個公開網頁。

因此，安全團隊不能只想著盡快恢復網站。他們必須先確認底層系統安全無虞，再讓網站重新上線。

這起事件也凸顯了維護舊版軟體的挑戰。有些較舊的 PHP 版本已不再收到官方安全更新，因此升級和長期維護至關重要。

4. 組織現在應該怎麼做？

當務之急很明確：

找出所有 PHP 安裝項目，尤其是暴露於網際網路的項目。

升級至適當的 PHP 修補版本。

檢查可能內建 PHP 的代管平台、外掛程式和第三方產品。

監控日誌和系統是否有可疑活動。

如果無法及時確保系統安全，請考慮將其隔離，直到能夠完成修補為止。

PHP 官方指南列出的修補版本包括 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。管理員應確認適用於自身環境的正確版本和升級路徑。

我的看法：這起事件提醒我們，網路安全不只是防止攻擊，也包括了解組織正在執行哪些軟體、確保軟體持續獲得支援，並在重大漏洞公開時迅速應對。

修補程式已經推出，但真正的考驗在於能否迅速找出並保護易受攻擊的系統。

非財務建議。

你認為最大的風險是漏洞本身，還是仍在執行過時且未修補基礎設施的組織數量？
@Gate_Square