PHP爆嚴重資安漏洞！歐盟機構示警若無法修補應立即下線

Reuters 路透社報導

廣泛應用於全球網路的PHP程式語言開發團隊週三宣布，將針對兩項重大安全漏洞發布修補程式。由於PHP支撐著網路上龐大的網站運作，過去一天內外界高度擔憂使用該軟體的網站可能面臨嚴重的網路入侵風險。

資安公司Huntress在部落格指出，PHP無所不在，默默支援著WordPress、Drupal、Joomla和Magento等眾多知名平台，以及共享主機與控制台。PHP官方安全團隊表示，這兩項漏洞在CVSS v4.0嚴重程度評分均達9.2分，並預計於格林威治標準時間週三14:00釋出修補更新，呼籲用戶在發布後盡快升級。

歐盟電腦緊急應變小組（CERT-EU）發布公告警告，9.2分的高風險評級意味著存在未授權遠端執行程式碼的風險，攻擊者無須登入即可在受害系統上執行惡意程式碼。CERT-EU呼籲各機構做好立即修補準備，若無法執行，應考慮將受影響網站下線。

網站代管服務商GoDaddy也指出，這些漏洞可能讓攻擊者透過網路在受影響伺服器上執行代碼，導致資料遭竊、網站被竄改或整個系統遭到控制。澳洲網路安全中心（ACSC）亦發布類似指引，呼籲各組織清查系統並準備修補，同時監控是否有惡意活動跡象，但目前尚未發現有漏洞遭實際利用的情況。

CERT-EU與ACSC表示，從PHP 5以上的版本都可能受到影響，不過PHP官方尚未公開受影響的具體版本細節，相關修補內容將於更新發布時一併公布。