网络安全机构10月22日继续敦促网站运营方采取措施，保护正在使用的PHP系统，全球针对两项严重软件漏洞的应对行动由此进一步展开。新西兰国家网络安全中心在当天的警告中要求，运营方应立即安装安全补丁，同时持续监测是否有人利用这些漏洞发动攻击。此前，PHP项目已于10月21日发布紧急修复。警告所涉及的问题可能使攻击者在没有登录、也没有通过身份验证的情况下，就能在运行PHP的服务器上执行代码，这正是本轮更新需要应对的核心风险：攻击所需的并不是网站用户正常登录后的操作权限，而是服务器本身暴露出的软件弱点。
PHP项目的安全公告将所有处理网络请求的PHP安装环境列为存在风险的对象，其中包括PHP-FPM，以及搭配mod_php模块使用的Apache。项目认为，在这些环境中，mod_php面临的风险最高：研究人员已经演示了一种攻击，它可以在任何应用程序代码开始运行之前触发。PHP用于生成网页，也承担服务器端的处理工作。因此，判断一项服务是否暴露于风险，需要考虑支撑该服务的实际软件和配置，而不是只看用户在浏览器里能够看到的网站内容。
为处理这两项漏洞，项目发布了PHP 8.5.12、8.4.27、8.3.36和8.2.35版本。相关漏洞的编号分别是CVE-2026-109618和CVE-2026-109619。公告描述的问题涉及内存管理，以及在前后不同请求之间仍然残留的内部状态。项目还说明，如果运营方使用的是操作系统发行商提供的软件包，或者依赖长期支持供应商提供软件维护，就应向相应供应商查询已经修复的构建版本。更新来源需要与实际使用的软件包供应渠道相对应。
PHP基金会表示，其中一个问题最早的迹象，是在2024年一次安全审计之后的相关工作中发现的。随后，Calif、OpenAI和Wiz提交了进一步报告，使问题的完整影响得到确认。基金会称，到了今年8月，修复这一问题已成为其安全工作的最高优先事项。基金会同时承认，早期工作受到资源不足的限制，团队也难以选定一种兼顾兼容性的修复方案，因而出现延误。基金会表示正在改变决策流程，以调整此前处理这类问题的组织方式。
英国国家网络安全中心要求各机构在整个基础设施范围内识别PHP系统，并把直接面向互联网的系统放在优先位置。按照该机构的指引，如果运营方既无法及时安装更新，也不能迅速采取临时缓解措施，就应考虑让有关系统暂时下线，直到能够妥善处理风险。这里所说的下线属于减少暴露面的预防措施。网站服务发生中断这一现象，本身并不等于攻击者已经成功攻入网站，也不能单凭中断就认定发生了系统入侵。因此，在理解网站暂时无法访问的情况时，须区分运营方主动采取的保护措施与确有证据支持的安全事件。
新西兰机构进一步提醒，安装安全补丁并不能撤销已经发生的系统入侵，修复漏洞与处理既有入侵后果需要区分。英国指引同样要求，在无法立即完成更新或关闭系统时，运营方应检查是否存在遭到入侵的证据，以及攻击者是否已经安装了后门。两国机构的公告都将持续监测作为本轮应对的一部分。英国机构还要求关注其他供应商的更新，包括那些在产品或服务内部集成了PHP的第三方供应商，并持续跟进其发布的相关安全修复。监测范围因而涵盖直接运行PHP的系统，也包括通过其他产品间接使用PHP的服务。
评论