广泛用于网站后端运作的程式语言PHP出现两项严重保安漏洞，引发全球紧急修补行动。欧洲多国政府、学校及医院网站10月21日（周三）预防性下线，避免黑客乘隙入侵。PHP开发团队当日已发布修补版本，强烈呼吁所有用户立即更新，并警告部分配置下，攻击者毋须登入，便可在网站应用程式码执行前触发攻击。PHP被估计用于约全球七成网站。
两漏洞评分9.2 可毋须登入执行程式码
两项漏洞编号分别为CVE-2026-109618及CVE-2026-109619，严重程度评分均达9.2分，满分为10分。漏洞涉及记忆体处理及内部状态管理，可让未经身分验证的攻击者远端执行程式码。
PHP官方指出，所有处理网页请求的PHP安装均须评估风险，其中Apache搭配“mod_php”的配置风险最高；已展示的攻击可透过未经验证的请求，在应用程式码开始运行前触发。官方已推出PHP 8.5.12、8.4.27、8.3.36及8.2.35修补版本。
荷兰DigiD及政府平台停服务 资安中心自身亦下线
荷兰政府确认，多个公共服务网站因应漏洞预防性下线，包括电子身分认证服务DigiD、政府个人服务平台MijnOverheid，以及Overheid.nl。荷兰国家网络安全中心（NCSC）自身网站亦暂停开放。
荷兰政府在当地时间21日下午发布的公告中表示，当时尚未发现漏洞遭主动利用的迹象，但仍建议网站负责人评估风险，有需要时先将网站下线，并在更新推出后尽快安装。公告亦指出，部分政府网站并不使用PHP，因此不受这次漏洞影响。
芬兰亦采取预防措施，暂停政府公共网络服务。路透社报道，欧洲多地政府、教育及医疗机构均加入紧急应对行列，反映这次漏洞的影响不只限于一般商业网站。
英欧吁立即修补 无法处理应隔离系统
英国国家网络安全中心呼吁机构立即准备更新使用PHP的系统，若无法即时完成补救，应考虑暂时下线，直至风险获充分处理。
欧盟电脑保安事故应变组织（CERT-EU）亦要求立即修补；若未能及时完成，应考虑将对外应用程式与公共网络隔离，待安装修补及验证后才恢复。
官方同时强调，临时缓解措施只能减低部分攻击途径的风险，不能令系统完全安全，更新才是完整修复方法。
日本吁盘点隐藏PHP 澳洲、德国及斯洛伐克发警报
日本资讯处理推进机构（IPA）提醒，PHP除了用于网站，亦可能嵌入软件产品及网络设备，机构应在可行情况下盘点使用情况，留意供应商公告，准备迅速套用修补。IPA亦警告，部分网站仍使用已停止支援的旧版本，攻击者可能在漏洞资料公开后极短时间内发动攻击。
澳洲网络安全中心、德国联邦资讯安全办公室及斯洛伐克SK-CERT亦发布相关警报，指两项漏洞可能让未经验证的远端攻击者在受影响系统执行任意程式码。
AI协助揭发隐患 各地对攻击情况掌握不同
今次漏洞由研究人员利用人工智能协助揭发，亦令外界关注AI加快寻找漏洞及开发攻击工具的双重作用。美国白宫表示，联邦机构正评估对政府系统及关键基础设施的潜在影响。
至于是否已遭利用，路透社报道，Cloudflare表示已看到早期攻击出现。
