PHP 将推补丁修复两个 9.2 分漏洞，欧盟敦促无法

10 月 21 日消息，据路透社报道，PHP 开发团队宣布将发布补丁修复两处严重安全漏洞。欧盟网络安全官员警告，无法安装补丁的机构应将受影响的网站下线。

PHP 被互联网上大量网站采用。过去一天，有关使用 PHP 的网站可能遭到严重网络入侵的猜测不断流传。

网络安全公司 Huntress 在博客中写道：“PHP 无处不在。从 WordPress、Drupal、Joomla 和 Magento 网站，到共享主机平台、管理面板，再到许多根本没有注明底层使用 PHP 的软件，背后都有 PHP 在默默提供支持。”

PHP 开发团队在安全通报中称，按照通用漏洞评分系统（CVSS）4.0 版的标准，两处漏洞的严重程度均达到 9.2 分，并敦促用户在修复版本发布后尽快升级。

当地时间 20 日，欧盟计算机应急响应小组（CERT-EU）发布安全公告称，9.2 分的评分表明，两处漏洞存在未经身份验证即可远程执行代码的风险。攻击者可能利用此类漏洞，在无需登录的情况下远程运行恶意代码。

CERT-EU 敦促各机构做好补丁发布后立即修复受影响系统的准备，无法及时修复的机构则应考虑让受影响的网站暂时下线。

澳大利亚网络安全中心（ACSC）也提出了类似建议，敦促各机构排查使用 PHP 的系统，准备安装补丁，并监测应用程序是否存在恶意活动迹象。获悉，该中心目前尚未发现有人实际利用这些漏洞发动攻击。

网站托管服务商 GoDaddy 警告，攻击者可能利用漏洞，通过互联网在受影响的服务器上执行代码，导致数据被盗、网站内容遭到篡改，甚至整个系统被攻陷。

PHP 安全团队称，补丁发布时将一并公布漏洞详情、受影响的版本以及修复版本的信息。

CERT-EU 和 ACSC 指出，PHP 5 及之后的所有版本都有可能受到影响，但 PHP 开发团队尚未公布具体哪些版本存在漏洞。

相关阅读：

• 《9.2 评分：PHP 拉响安全警报，今天将修复 2 个高危漏洞》