PHP惊现超危漏洞，工信部发布紧急安全风险提示
近日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测到PHP环境中存在两个已被标记为“超危”级别的远程代码执行（RCE）漏洞。这一发现引发了业界对Web服务器安全的广泛担忧。
漏洞危害程度与影响范围
PHP作为全球最主流的开源服务器端脚本语言之一，其安全性直接关系到无数网站和应用服务的稳定运行。此次曝光的漏洞危害性极高，攻击者无需通过身份验证，即可利用这些漏洞远程执行任意恶意代码。
成功利用漏洞可能导致严重后果，包括但不限于：
- 服务器完全被攻击者控制
- 敏感业务数据和用户信息泄露
- 核心业务系统中断，造成服务瘫痪
- 成为攻击者进一步渗透内网的跳板
根据官方通报，受影响的PHP版本包括：
- 8.5系列（版本低于8.5.12）
- 8.4系列（版本低于8.4.27）
- 8.3系列（版本低于8.3.36）
- 8.2系列（版本低于8.2.35）
- 8.1系列及所有更早的历史版本
官方修复方案与临时缓解措施
PHP开发团队已迅速响应，发布了修复后的安全版本。用户可通过PHP官方网站的安全公告（发布于2026年10月21日）获取详细信息。
对于无法立即进行完整版本升级的单位，工信部建议优先采取以下临时防护措施以降低风险：
- 考虑临时下线受影响的服务
- 在配置中关闭“会话上传进度”相关功能
- 对存在漏洞的系统实施严格的网络访问隔离和限制
企业应立即采取的深度防护行动
除了漏洞修补，工信部强调必须加强整体的安全水位。建议所有使用PHP的单位：
立即组织技术力量，对全网资产进行拉网式排查，识别所有运行受影响PHP版本的服务。排查完成后，首要任务是将PHP环境升级至对应的最新安全版本。
升级后，务必同步更新所有相关的账号口令、API密钥和数字证书，避免攻击者利用旧凭证进行攻击。同时，应提升安全监测等级，部署针对异常代码执行和可疑网络流量的检测规则，确保能够及时发现并阻断潜在的攻击行为。