PHP嚴重漏洞迫使歐洲多國政府網站緊急下線

PHP團隊週二確認兩處嚴重遠程代碼執行漏洞，週三發佈補丁後歐洲多國政府仍預防性關閉大量公共服務網站。

荷蘭議會網站Tweede Kamer、數字身份系統DigiD、政府門戶MijnOverheid、國家網絡安全中心NCSC以及鹿特丹港官網均已臨時下線，芬蘭政府信息技術中心Valtori自當地時間12:45起切斷所有面向公衆的政府互聯網服務，比利時弗拉芒區政府網站與多所大學系統同步採取相同措施。

漏洞編號爲CVE-2026-109618與CVE-2026-109619，均獲CVSS v4.0評分9.2，攻擊者無需登錄即可在服務器上執行任意代碼，影響範圍覆蓋PHP 5及以上版本，官方補丁僅覆蓋8.2至8.5分支，舊版本已停止支持且無官方修復。

Cloudflare報告在補丁發佈前已觀測到早期攻擊流量，併爲其全部客戶部署WAF臨時規則作爲過渡防護，安全機構CERT-EU、英國NCSC與澳大利亞ACSC均建議無法立即打補丁的機構隔離或下線相關係統。

W3Techs數據顯示，在可識別服務器端語言的網站中約69%使用PHP，WordPress單獨支撐全球約40%網站，此次事件直接波及荷蘭多家醫院、政黨網站、大學與交通服務平臺。

安全廠商與CDN服務商通過WAF規則與託管防護承接緊急流量，網站運營方被迫在停機成本與入侵風險之間選擇，未及時更新的PHP 7及更早環境承壓最大，攻擊者正針對未防護實例進行探測。

來源：公開信息

ABAB AI 解讀

PHP核心團隊在2026年10月20日提前公告並在次日發佈緊急補丁，這一節奏與2019年PHP 7系列曾出現的遠程代碼執行問題處理模式相近，當時攻擊者同樣在補丁窗口期對未更新實例進行利用，最終促使部分託管服務商強制升級客戶環境。

Cloudflare在漏洞信息泄露後數小時內部署WAF規則並覆蓋免費與付費客戶，同時Wiz與其他安全公司參與協調披露，資源從漏洞研究快速轉向防護產品與託管服務的臨時增量需求，而大量仍運行PHP 7及更早版本的政府與中小企業系統則面臨升級成本或下線決策。

與2021年Log4Shell事件類似，本次漏洞通過單一基礎組件影響WordPress、Drupal、Magento等廣泛部署的應用棧，當前行業處於攻擊面控制階段，安全廠商通過規則更新爭奪防護市場份額，而傳統PHP應用則加速向受支持版本或替代棧遷移。

本質屬於產業鏈重構：核心語言的長期支持政策與大規模遺留部署之間的錯配，在信息提前泄露後被放大，迫使依賴方在短時間內調整基礎設施，而防護層供應商獲得臨時定價與綁定機會。

ABAB News · 認知定律