更新 1-歐盟機構警告稱，隨著PHP為漏洞準備補丁，相關網站可能需要下線

Rajveer Pardesi/Raphael Satter

路透10月21日 - 廣泛使用的PHP編程語言的開發者周三表示，他們將針對兩個關鍵漏洞發布補丁，與此同時，歐盟網絡安全官員警告稱，無法應用這些補丁的組織應將受影響的網站下線。

PHP被廣泛應用於互聯網的各個領域，過去一天里，外界普遍猜測運行該軟件的網站可能面臨嚴重的網絡入侵風險。

“PHP無處不在。它默默地支撐著WordPress、Drupal、Joomla和Magento網站，共享主機平台、控制面板，以及大量甚至從未公開表明其底層運行PHP的軟件，”網絡安全公司Huntress在一篇博客文章中表示。

在安全更新中，PHP 表示這兩個漏洞在 CVSS v4.0 嚴重性評分體系中均被評為 9.2 分，並敦促用戶“一經發布即刻升級”。

該組織表示，針對這兩個漏洞的補丁計劃於周三格林尼治標準時間14:00發布。

歐盟計算機應急響應小組（CERT-EU）周二在一份安全公告中指出，9.2的評級表明存在未經身份驗證的遠程代碼執行風險——此類漏洞可能使攻擊者無需登錄即可在存在漏洞的系統上運行惡意代碼。

CERT-EU敦促各組織做好立即修補受影響系統的準備，並表示無法及時修補的組織應考慮將受影響的網站下線。

澳大利亞網絡安全中心（ACSC）發布了類似的指導意見，敦促各組織識別其環境中的 PHP 系統，準備應用補丁，並監控應用程序以察覺惡意活動的跡象。

“ACSC目前尚未發現與這些漏洞相關的活躍利用活動，”該機構表示。

網絡托管服務提供商GoDaddy表示，這些漏洞可能使攻擊者通過互聯網在受影響的服務器上執行代碼，從而可能導致數據被盜、網站被篡改或整個系統遭到完全控制。

PHP安全團隊表示，漏洞詳情、受影響版本及修復版本將在補丁發布時公布。

CERT-EU 和 ACSC 表示，從 PHP 5 起的所有 PHP 版本都可能受到影響，儘管 PHP 尚未披露具體哪些版本存在漏洞。

(為便利非英文母語者，路透將其報導自動化翻譯為數種其他語言。由於自動化翻譯可能有誤，或未能包含所需語境，路透不保證自動化翻譯文本的準確性，僅是為了便利讀者而提供自動化翻譯。對於因為使用自動化翻譯功能而造成的任何損害或損失，路透不承擔任何責任。)