PHP 開發者發布關鍵漏洞修補更新

PHP 程式語言開發者發布四項修補更新，解決兩個早前發現的「關鍵」漏洞，容許黑客於受影響系統執行任意程式碼。PHP 基金會承認處理其中一個漏洞出現延誤，並形容為「結構性失誤」。美國國家安全局及網絡安全暨基礎設施安全局均呼籲用戶立即更新系統。

PHP 程式語言的開發團隊宣布，針對兩個早前已識別的「關鍵」漏洞，一組新修補更新現已生效，並承認在處理其中一個已知漏洞時出現延誤。這兩個漏洞容許黑客在受影響的系統上執行任意程式碼，引起全球網站營運商的高度關注。

由於 PHP 支撐著互聯網上大量網站，這批漏洞的披露引發憂慮，認為大量網站可能因此受攻擊。開發團隊一共發布四項修補，以應對這兩個「關鍵」漏洞，並強烈建議用戶立即更新系統。

負責監督 PHP 軟件開發及維護的 PHP 基金會在網誌中表示，一名安全研究人員早在 2024 年已發現其中一個漏洞的初步跡象，但當時僅屬「理論推測，並未找到具體攻擊路徑」，加上其他有明確影響的實際問題掩蓋了相關憂慮。基金會承認，在處理該漏洞時出現延誤，並形容這是「結構性失誤」。

開發團隊早前已表示識別出兩個關鍵漏洞，並呼籲用戶在修補更新發布後盡快更新系統。保安專家警告，黑客會迅速對修補進行逆向工程，並搶先攻擊未經修補的系統。

美國國家安全局發表聲明指出，這類漏洞「往往提供直接通往伺服器檔案系統或數據庫的路徑」，若無法即時更新，機構應將系統離線以作全面防護。網絡安全暨基礎設施安全局（CISA）亦在公告中表示，機構「應立即更新」其 PHP 安裝，並指雖然截至公告發布時未觀察到相關漏洞被實際利用，但若漏洞未獲修補，仍會對機構構成風險。