PHP漏洞應對：網站運營方需立即更新版本，普通用戶應加強賬號安全與防釣魚保護

BlockBeats 消息，10 月 22 日，據 PHP 官方安全公告，針對「php2shell」漏洞，網站營運方應按所用分支更新至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，或安裝發行版提供的對應修復包。PHP 8.1 及更早版本用戶，應升級至受支持分支，或聯繫發行版及長期支持廠商確認舊版本補丁。

普通用戶可參考 CISA 的通用安全建議：一是在郵箱、金融賬戶等重要賬戶啟用雙因素認證；二是為不同賬戶設置獨立強密碼，避免密碼復用；三是警惕冒充「緊急密碼重置通知」的釣魚郵件，需要改密時自行打開官網或官方 App 操作，避免點擊可疑鏈接。上述措施有助於降低盜號及釣魚風險，但不能修復服務器端 PHP 漏洞。

Cloudflare 提醒，漏洞位於服務器的 PHP 運行環境，僅更新網站代碼或插件無法修復。使用託管服務的用戶應聯繫服務商確認底層 PHP 已更新。Cloudflare 宣佈，為 Web 應用防火牆（WAF）新增完整 HTTP 事務檢測及響應規則，面向包括免費套餐在內的所有客戶開放。修復期間應保持 WAF 防護開啟，但 WAF、上傳限制等措施不能替代補丁。

網絡安全公司 Huntress 建議，企業全面盤點服務器、控制面板及第三方軟件中的 PHP 環境，優先修復公網系統；無法及時修復的停服維護版本，應考慮暫時隔離公網訪問。同時監測 PHP 進程異常啟動命令行、解釋器或下載工具等行為，發現可疑活動後隔離服務器，並保留網站及 PHP 日誌。