PHP漏洞应对：网站运营方需立即更新版本，普通用户应加强账号安全与防钓鱼保护

10月22日，PHP官方发布安全公告，披露「php2shell」漏洞应对方案：使用PHP 8.5、8.4、8.3或8.2分支的用户，须立即升级至对应修复版本——即PHP 8.5.12、8.4.27、8.3.36或8.2.35；若依赖发行版分发的PHP，则应安装其发布的适配补丁。PHP 8.1及更早版本已退出官方支持周期，相关用户必须迁移至当前受支持分支，或主动联系所用发行版及长期支持（LTS）供应商，确认是否存在针对旧版本的定制化修复补丁。

面向普通用户的防护建议，可参照美国网络安全与基础设施安全局（CISA）的通用指引：首先，在邮箱、银行账户等高敏感度账户中启用双因素认证（2FA）；其次，为每个在线账户单独设置高强度密码，杜绝跨平台复用；第三，对声称“紧急密码重置”的邮件保持高度警惕，所有密码修改操作均须手动访问官网或官方App完成，切勿点击邮件内任何链接。此类措施虽能显著缓解账号盗用与钓鱼攻击风险，但无法修补服务器端PHP环境本身存在的漏洞。

Cloudflare强调，该漏洞根植于服务器运行的PHP解释器层面，仅更新网站程序代码或第三方插件完全无效。托管服务用户需主动联系服务商，核实底层PHP运行时是否已完成版本升级。与此同时，Cloudflare已为其Web应用防火墙（WAF）新增覆盖完整HTTP事务链路的检测与响应规则，并向全部客户（含免费套餐用户）开放启用。在漏洞修复完成前，务必持续开启WAF防护；但需明确，WAF策略、文件上传限制等临时缓解手段，均不可替代根本性补丁。

网络安全公司Huntress提出企业级响应建议：立即开展全量资产清查，覆盖物理/虚拟服务器、管理控制面板及集成的第三方软件组件，精准识别所有PHP部署实例；优先为暴露于公网的系统实施修复；对短期内无法升级的停服维护版本，应立即切断其对外网络连接。此外，须持续监控PHP进程行为，重点识别异常调用命令行工具、启动交互式解释器或下载外部可执行文件等可疑活动；一旦发现，立即隔离涉事服务器，并完整保留网站访问日志与PHP错误/执行日志以供溯源分析。