澳洲机构示警，漏洞风险不等于已发生泄露

ABC于10月22日凌晨报道，两项PHP严重漏洞引发多国网站运营者应急处理，澳洲信号局也对相关风险发出提醒。PHP是许多网站在服务器上使用的程序语言，影响范围不只是一款手机应用或一个浏览器。

报道提到澳洲网络安全网站也使用受影响技术。不过，存在漏洞、采取临时下线措施和确认遭到入侵是不同事实，不能仅凭网页打不开就推断用户资料已经泄露。判断一家网站的实际情况，需要运营者或调查机构的进一步确认。

阅读ABC英文原文：PHP漏洞与澳洲网络安全警报

核实更新：修复版本已公布

截至本次核实，PHP官方网站已发布安全公告，并非仍停留在“等待补丁”的阶段。公告列出的修复版本为8.5.12、8.4.27、8.3.36和8.2.35，对应CVE-2026-109618与CVE-2026-109619两项漏洞；官方敦促用户立即更新。

公告指出，为网页请求提供服务的PHP环境需要关注，包括PHP-FPM和Apache的mod_php等。PHP 8.1及更早版本已不再由PHP项目提供常规更新；使用发行版长期支持包的机构，应向自己的供应商确认是否已回补修复，不能只看表面的版本号。

PHP官方安全公告与各分支修复版本

商家网站要查服务器，不只是插件

对把网站交给外包公司或共享主机维护的小商家，可要求服务方明确回复三件事：网站是否运行PHP、对应环境的安全更新是否已部署、升级后登录与订单等主要功能是否通过检查。WordPress后台显示“插件已更新”，并不能单独证明服务器底层也完成修复。

PHP官方强调，临时缓解措施不是完整解决办法。本文建议把公告交给负责运维的人按实际架构处理，不要照抄网上配置片段到生产站。普通访客也不需要从陌生邮件下载所谓“网站修复工具”；涉及账号或数据泄露的处理，应以该服务的正式通知为准。