欧洲网络应急小组发出警告：无法及时修复两项关键 PHP 漏洞的网站应考虑暂停运营。这两处高危漏洞可能让攻击者在无需登录的情况下完全控制服务器。
PHP 是众多网站的底层技术，包括如 WordPress 博客、Magento 电商平台等。然而，这两处漏洞的详细信息在修复补丁发布前即被泄露至网络。
攻击者已率先行动
Huntress 报告显示，漏洞信息于 10 月 20 日便被公开，早于原定披露时间。随后，PHP 基金会安全团队将漏洞公告时间定为 10 月 21 日 14:00（UTC）。
The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.
— The PHP Foundation (@ThePHPF) October 20, 2026
PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.
据 Huntress 称，安全公司 watchTowr 已成功复现其中一项漏洞。Huntress 自身的客户系统暂未监测到攻击事件。
相较之下，Cloudflare 首席技术官 Dane Knecht 透露，攻击已经开始蔓延。Cloudflare 针对已知攻击路径已为所有用户（包括免费用户）部署了防火墙规则。
我们已监测到部分早期攻击行为，并正随新型攻击手段持续调整防护措施。目前这仅为临时补救方案。
Knecht 在 X（原推特）上 发文发布了这一警告。
据 路透社报道，欧盟网络应急响应团队（CERT-EU）和澳大利亚网络安全机构均警告，PHP 漏洞可能影响自 PHP 5 以来的所有版本。
Huntress 还指出，部分研究者预计官方补丁仅涵盖受支持的 PHP 8 版本，这意味着更老旧、已不再维护的 PHP 版本或将无法获得修复。
本次防御警报发布于全球 100 多家企业联合警示 AI 网络攻击激增的数周之后。
PHP 漏洞对网站主意味着什么？
据 W3Techs 数据，全球约 69% 使用已知服务器端语言的网站基于 PHP。仅 WordPress 一项，就承担了全球近 40% 网站的运行。
CERT-EU 指出，此漏洞的危害等级评分高达 9.2，属于未授权远程代码执行。简单来说，攻击者可在无需任何凭证的前提下，直接在服务器上运行恶意代码。
网站托管商 GoDaddy 警告，攻击者可能窃取数据、篡改网页，甚至完全接管服务器控制权。被窃取的数据价值巨大，韩国银行数据泄露事件已成为典型案例。
安全插件 Wordfence 指出，每一个基于 WordPress 的网站都运行在 PHP 服务器上。然而，WordPress 的自动更新并不能修复 PHP 的安全漏洞。因此，网站所有者需要明确是谁在为自己管理 PHP 环境。
正如 法国超市冰柜被黑客入侵一案所示，针对日常基础设施的攻击正持续蔓延。这些 PHP 漏洞将网络安全风险从硬件层转移到了支撑大部分网站的软件层面。一次简单的服务器更新遗漏，都可能为黑客打开入侵之门。
在 cn.beincrypto.com 阅读由 Phil Haunhorst 撰写的原始文章 欧盟要求部分网站关闭原因解析