PHP修補嚴重漏洞 網站或需離線防攻擊

PHP程式語言開發商宣布將發布兩個嚴重漏洞的修補，CVSS v4.0評分高達9.2，容許未經認證的遠端程式執行。歐洲與澳洲網絡安全機構警告，無法即時修補的機構應考慮將受影響網站離線。

廣獲互聯網使用的程式語言PHP，其開發商周三宣布將於日內發布修補，堵塞兩個被評為「嚴重」級別的保安漏洞。歐洲聯盟電腦緊急應變小組（CERT-EU）警告，機構若無法即時套用修補，應考慮將受影響網站離線。

這兩個漏洞在CVSS v4.0評分系統中均獲9.2分（滿分10分），屬極高風險。CERT-EU表示，此類漏洞容許攻擊者毋須登入，即可在易受攻擊的系統上執行惡意程式碼。

PHP廣泛用於WordPress、Drupal、Joomla及Magento等內容管理系統，以及大量共享寄存平台和控制面板。網絡安全公司Huntress指出，PHP「無處不在」，很多軟體在背後使用PHP而不作標明。

雲端安全公司Cloudflare的技術總監表示，已觀察到針對漏洞的攻擊正在湧現，其防火牆規則正在更新作為臨時措施，但強調「修補才是根本解決方法」。網絡寄存公司GoDaddy警告，漏洞可能讓攻擊者透過互聯網在受影響伺服器上執行程式碼，導致資料被竊、網站遭篡改或系統完全淪陷。

澳洲網絡安全中心（ACSC）呼籲機構識別環境中的PHP系統，準備套用修補，並監測應用程式的可疑活動。ACSC表示，目前未發現相關漏洞被大規模主動利用。Wordfence保安插件則提醒網站所有者，自動更新無法套用是次修補，必須由負責更新PHP的人員手動處理。

PHP開發商表示，將於周三格林威治時間下午二時發布修補，屆時會公開漏洞詳情、受影響版本及修正版本。CERT-EU及ACSC指出，PHP 5版本以後的所有版本均可能受影響。