关键PHP漏洞引发多国公共服务停摆：共享开源软件暴露分散修补难题

据澳大利亚广播公司（ABC）报道，PHP开发者确认了两个关键漏洞，并敦促网站运营者安装更新。澳大利亚网络安全中心官网和其他政府网站出现服务中断；荷兰、芬兰、法国和丹麦的政府机构或公共服务也采取下线措施，在补丁部署前降低风险。

澳大利亚内政部长办公室发言人表示，国家网络安全办公室已知悉包括政府网站在内的数个网站发生中断，部分网站在降低风险期间暂时不可用。澳大利亚信号局说：“在其环境中使用PHP的机构和个人应持续监测并审查PHP官方指引，并在安全补丁可用时应用。”

欧洲的处置范围从安全机构官网延伸至公共服务。荷兰网络安全机构为预防风险主动下线；芬兰国有IT服务商Valtori关闭政府公共网络服务；法国内政部暂停地方政府行政网站，等待安全修复。据ABC援引路透社报道，丹麦市政IT公司Kombit也关停多项服务，其中包括全国学校通信平台。

停站不等于已经确认入侵。Cloudflare首席技术官Dane Knecht说：“我们看到早期攻击正在出现，正随着新的攻击向量出现而更新缓解措施。这只是权宜之计；PHP一发布更新，就应立即修补。”究竟有多少网站或服务器遭到攻击、成功入侵，仍不清楚。安全专家警告，漏洞可能波及数百万台服务器；这是对互联网暴露面的潜在评估，并非已经确认的受害规模。有关官员表示，PHP 5及之后的版本均可能受影响，但PHP开发者尚未公布具体受影响版本。

PHP是一种免费、开源、由志愿者维护的编程语言。据ABC援引网页技术追踪机构W3Techs的数据，在能够识别编程语言的网站中，约75%使用PHP。PHP还为WordPress、Drupal、Joomla和Magento提供底层支持，并广泛用于共享主机和控制面板。共同底座扩大了攻击面：攻击者可以扫描互联网，寻找运行易受攻击版本的系统，而众多使用者和运营方需要各自完成修补。

临时下线是风险控制，不是修复。Cloudflare更新防火墙规则也只是权宜之计，无法替代补丁。在补丁部署前，许多使用者只能在继续暴露服务与暂停服务之间权衡。对学校通信和地方行政等公共服务而言，停站会直接转化为公众无法使用服务、机构办公受阻的成本。

日本和英国的网络安全机构也敦促PHP用户立即更新，或在补丁可用前将网站下线。美国网络安全与基础设施安全局（CISA）没有回应ABC新闻的置评请求。

多国停摆暴露了共享软件基础设施的结构性难题：PHP由志愿者维护，大量机构分别承担使用、运维和修补工作；共同底座上的漏洞，需要众多下游机构分别处置，而公共服务中断的代价也由各机构承受。公共部门对同一开源底座的广泛依赖，由此把上游漏洞转化为多地停摆和分散修补负担。