PHP漏洞應對：網站運營方需立即更新版本，普通用戶應加強賬號安全與防釣魚保護

10月22日，PHP官方發佈安全公告，披露「php2shell」漏洞應對方案：使用PHP 8.5、8.4、8.3或8.2分支的用戶，須立即升級至對應修復版本——即PHP 8.5.12、8.4.27、8.3.36或8.2.35；若依賴發行版分發的PHP，則應安裝其發佈的適配補丁。PHP 8.1及更早版本已退出官方支持週期，相關用戶必須遷移至當前受支持分支，或主動聯繫所用發行版及長期支持（LTS）供應商，確認是否存在針對舊版本的定制化修復補丁。

面向普通用戶的防護建議，可參照美國網絡安全與基礎設施安全局（CISA）的通用指引：首先，在郵箱、銀行賬戶等高敏感度賬戶中啓用雙因素認證（2FA）；其次，為每個在線賬戶單獨設置高強度密碼，杜絕跨平台復用；第三，對聲稱「緊急密碼重置」的郵件保持高度警惕，所有密碼修改操作均須手動訪問官網或官方App完成，切勿點擊郵件內任何鏈接。此類措施雖能顯著緩解賬號盜用與釣魚攻擊風險，但無法修補服務器端PHP環境本身存在的漏洞。

Cloudflare強調，該漏洞根植於服務器運行的PHP解釋器層面，僅更新網站程序代碼或第三方插件完全無效。托管服務用戶需主動聯繫服務商，覈實底層PHP運行時是否已完成版本升級。與此同時，Cloudflare已為其Web應用防火牆（WAF）新增覆蓋完整HTTP事務鏈路的檢測與響應規則，並向全部客戶（含免費套餐用戶）開放啓用。在漏洞修復完成前，務必持續開啓WAF防護；但需明確，WAF策略、文件上傳限制等臨時緩解手段，均不可替代根本性補丁。

網絡安全公司Huntress提出企業級響應建議：立即開展全量資產清查，覆蓋物理/虛擬服務器、管理控制面板及集成的第三方軟件組件，精准識別所有PHP部署實例；優先為暴露於公網的系統實施修復；對短期內無法升級的停服維護版本，應立即切斷其對外網絡連接。此外，須持續監控PHP進程行為，重點識別異常調用命令行工具、啓動交互式解釋器或下載外部可執行文件等可疑活動；一旦發現，立即隔離涉事服務器，並完整保留網站訪問日誌與PHP錯誤/執行日誌以供溯源分析。