PHP关键漏洞补丁上线，多国政府网站紧急下线避险

据德国之声报道，PHP开发团队已上线修补CVE-2026-109618和CVE-2026-109619的补丁，并敦促“强烈建议所有PHP用户立即更新”。这两个严重漏洞可被攻击者用于远程接管网站和服务器，甚至绕过密码保护等常见障碍。全球数百万个网站依赖PHP，包括政府门户、关键基础设施、新闻网站和网店。

德国之声还报道，漏洞由安全公司Calif和Wiz分别报告，两家公司均使用了AI工具识别问题。PHP团队在修复期间对漏洞保密，但相关消息在预定更新日前一天泄露。补丁发布前数小时，Cloudflare首席技术官Dane Knecht称：“我们看到早期攻击正在出现，并在新的攻击向量显现时更新缓解措施。”这表明利用尝试已经出现，却不能仅凭该表态认定政府服务器已被控制。

政府层面的反应已经落地。据德国之声报道，澳大利亚、日本及多个欧洲国家发布警告，并为防范潜在攻击下线部分政府网站。法国巴黎警察局网站及地方政府页面因“发现关键安全漏洞”被关闭；德国政府IT服务下线了部分使用PHP的网站；比利时外交部临时封锁其在线平台；荷兰网络安全机构也采取了预防性下线措施。这些措施减少了未修补系统继续暴露的风险，但下线也使公众暂时无法通过原渠道访问警务信息和地方政府信息。报道没有说明停站持续时间，公共服务中断的实际规模仍不清楚。

据德国之声援引美国国家安全局的话称，这类漏洞“往往提供一条通往服务器文件系统或数据库的直接路径”。NSA建议：“如果无法立即更新，建议相关机构将系统下线，直至完成全面缓解。”白宫称，上一周已获知此事，美国联邦机构仍在评估漏洞对政府系统和基础设施的潜在影响。联邦层面的评估已经展开，但目前尚未确认美国联邦系统遭到入侵。

这起事件把公共数字基础设施对广泛使用的开源组件的依赖暴露出来：上游团队可以集中发布补丁，机构端却必须逐个盘点、更新或隔离系统；同一风险落到不同机构时，处置空间取决于其技术架构和应急资源。对无法立即更新的系统，临时下线是可执行的应对方式，但代价是公众服务中断。漏洞由商业安全公司发现，修复由开源项目团队推进，政府机构则需要处理暴露风险和停机后果。这种跨企业、跨机构的分工，使风险控制难以由任何一方单独完成。

据德国之声目前的报道，尚无证据量化早期攻击造成的损失或数据泄露规模。确认实际影响仍需后续取证：是否发生入侵并进入文件系统或数据库，各政府站点何时恢复，以及美国联邦机构的评估结果。多个政府站点采取下线措施，说明预警可以促使机构迅速收缩暴露面；但是否发生实际入侵、哪些系统受到影响，仍有待调查确认。