欧洲网络应急小组发出警告：无法及时修复两项关键 PHP 漏洞的网站应考虑暂停运营。这两处高危漏洞可能让攻击者在无需登录的情况下完全控制服务器。
PHP 是众多网站的底层技术，包括如 WordPress 博客、Magento 电商平台等。然而，这两处漏洞的详细信息在修复补丁发布前即被泄露至网络。
攻击者已率先行动
Huntress 报告显示，漏洞信息于 10 月 20 日便被公开，早于原定披露时间。随后，PHP 基金会安全团队将漏洞公告时间定为 10 月 21 日 14:00（UTC）。
据 Huntress 称，安全公司 watchTowr 已成功复现其中一项漏洞。Huntress 自身的客户系统暂未监测到攻击事件。
相较之下，Cloudflare 首席技术官 Dane Knecht 透露，攻击已经开始蔓延。Cloudflare 针对已知攻击路径已为所有用户（包括免费用户）部署了防火墙规则。
我们已监测到部分早期攻击行为，并正随新型攻击手段持续调整防护措施。目前这仅为临时补救方案。
Knecht 在 X（原推特）上发文发布了这一警告。
据路透社报道，欧盟网络应急响应团队（CERT-EU）和澳大利亚网络安全机构均警告，PHP 漏洞可能影响自 PHP 5 以来的所有版本。
Huntress 还指出，部分研究者预计官方补丁仅涵盖受支持的 PHP 8 版本，这意味着更老旧、已不再维护的 PHP 版本或将无法获得修复。
本次防御警报发布于全球 100 多家企业联合警示 AI 网络攻击激增的数周之后。
PHP 漏洞对网站主意味着什么？
据W3Techs数据，全球约 69% 使用已知服务器端语言的网站基于 PHP。仅 WordPress 一项，就承担了全球近 40% 网站的运行。
CERT-EU 指出，此漏洞的危害等级评分高达 9.2，属于未授权远程代码执行。简单来说，攻击者可在无需任何凭证的前提下，直接在服务器上运行恶意代码。
网站托管商 GoDaddy 警告，攻击者可能窃取数据、篡改网页，甚至完全接管服务器控制权。被窃取的数据价值巨大，韩国银行数据泄露事件已成为典型案例。
安全插件 Wordfence 指出，每一个基于 WordPress 的网站都运行在 PHP 服务器上。然而，WordPress 的自动更新并不能修复 PHP 的安全漏洞。因此，网站所有者需要明确是谁在为自己管理 PHP 环境。
正如法国超市冰柜被黑客入侵一案所示，针对日常基础设施的攻击正持续蔓延。这些 PHP 漏洞将网络安全风险从硬件层转移到了支撑大部分网站的软件层面。一次简单的服务器更新遗漏，都可能为黑客打开入侵之门。
来源：BeInCrypto 中文（综合编译与客观梳理）
主流交易平台费率评测与官方防钓鱼安全指南
1. 非投资建议：本文内容及观点仅代表原作者或信源机构立场，不代表数链库观点，亦不构成本平台任何投资建议、财务指导或法律意见。加密资产市场波动剧烈，存在本金归零风险，投资决策需建立在独立思考之上，本文内容仅供参考，风险自担。
2. 客观中立与防钓鱼提醒：本站坚持客观中立的评测标准，不提供任何交易撮合或保本承诺。如需访问第三方交易所或钱包，请务必通过官方安全验证导航核对正版域名，谨防搜索引擎虚假钓鱼广告。