廣泛使用的程式語言PHP，其開發團隊21日宣布將釋出修補兩項嚴重漏洞的程式。歐盟（EU）網路安全機關要求無法套用修補的組織，應考慮暫停受影響的網站，或將其與外部網路隔離。攻擊者可能在未經身分驗證的情況下，從外部執行任意代碼，外界憂心將衝擊網際網路基礎設施。
PHP開發團隊在安全公告中說明，這兩項漏洞在嚴重度評分標準「CVSS v4.0」中，均獲滿分10分中的9.2分評價。修補程式預定於格林威治標準時間21日14時（台灣時間10月21日（週三）晚間10時）釋出，並呼籲使用者「修補版一經發布，請儘速更新」。受影響版本的詳細資訊，預計在修補程式發布時一併公布。
兩項漏洞分別被分配「CVE-2026-109618」與「CVE-2026-109619」的識別編號。不過，這些編號、「PHP 5以後版本均受影響」的範圍，以及最初CVSS 10.0的評價，都是研究人員在20日資訊外洩時所提出，PHP官方公告並未公布編號與影響範圍。研究人員將這兩項漏洞稱為「php2shell」。資安業者watchTowr表示，影響範圍「並未在官方供應商公告中獲得確認」。
歐盟網路安全服務機構（CERT-EU）在20日發布的建議中指出，9.2的評價意味著存在未經身分驗證即可從外部執行任意代碼的風險。該機構要求各方做好準備，以便能立即對受影響系統套用修補；若難以因應，則應考慮暫停受影響的網站。澳洲網路安全中心（ACSC）也提出類似指引，呼籲盤點環境內的PHP系統、準備套用修補程式，並監控可疑活動。該中心表示：「目前尚未確認與這些漏洞相關的活躍攻擊行為。」
資安業者Huntress指出，PHP廣泛應用於網站建置與管理、伺服器共享服務、管理介面等領域。除了是WordPress、Drupal、Joomla、Magento等主要內容管理系統的底層架構，許多未明示使用PHP的軟體，內部其實也以PHP運作。
網站代管大廠GoDaddy說明，這項漏洞可能讓攻擊者經由網際網路，在目標伺服器上執行任意代碼，恐導致資料竊取、網站遭竄改，甚至整個系統被接管。CERT-EU與ACSC均表示，PHP 5以後的所有版本都可能受影響，但PHP方面並未公布具體的脆弱版本。
註：CVE編號與「PHP 5以後」的範圍，均依據CERT-EU與ACSC的看法。PHP方面並未揭露受影響版本。
資料來源:
https://finance.biggo.com.tw/news/314e2cc6-2088-4681-bfc9-fbcd063bd3df
沒有留言:
張貼留言