由于担心 PHP 错误可能允许攻击者控制易受攻击的服务器，政府网站和在线服务遭到中断。

PHP 基金会承认，优柔寡断和资源短缺延迟了对 2024 年首次发现的关键安全漏洞的修复，并将停滞的响应称为“结构性故障”。

作为预防措施，世界各地的政府机构和其他组织周三将网站下线，同时 PHP 发布了针对两个相关严重漏洞的紧急补丁。这些缺陷可能允许未经身份验证的攻击者在不登录的情况下在受影响的服务器上执行代码。

PHP 是一种广泛用于支持网站和 Web 应用程序（包括内容管理系统）的编程语言。

在该补丁发布后的一篇博文中，该基金会描述了其开发人员如何在 2024 年首次发现该漏洞的迹象，但如何在不破坏使用 PHP 构建的大型软件生态系统的情况下努力提出解决方案。

该基金会表示：“由于缺乏已知的远程代码执行路径，而且核心开发人员小团队对负责许多职责的引擎有必要的深入了解，这一决策过程导致修复工作在数月内陷入停滞并反复重启。”

“我们不会假装：延误是结构性故障，是由安全团队的决策过程和资源缺乏造成的。”

8 月 11 日，在安全公司 Calif 和 OpenAI 独立报告了相同的潜在问题后，基金会再次指出该漏洞，其中 Calif 展示了无条件远程代码执行，这使其成为首要安全优先事项。

PHP 安全恐慌导致网站关闭

由于开发人员在准备安装紧急修复程序时断开了网站的连接，因此中断蔓延到了世界各地。

荷兰关闭了其数字身份服务，该国国家网络安全中心也关闭了其网站。

芬兰国家 IT 提供商 Valtori 断开了政府公共网络服务，法国内政部则暂时关闭了各县的网站。据路透社报道，德国联邦 IT 提供商 ITZBund 也关闭了多个网站。

在澳大利亚，澳大利亚信号局承认其网络安全网站 cyber.gov.au 是受 PHP 问题影响的政府网站之一。

日本首相高市早苗向X敦促网站运营商准备尽快应用补丁。她在一篇帖子中表示，如果无法立即应用补丁，暂时停止网站功能可以降低风险。

运营维基百科的维基媒体基金会表示，作为预防措施，它下线了一些支持服务，其中包括托管志愿者开发人员使用的工具和项目的 Toolforge 和 Cloud VPS，导致维基百科的部分内容于周三下线。

区块链安全公司 SlowMist 表示，其 MistEye 服务调查了整个加密行业的 PHP 使用情况，敦促交易所、DeFi 平台和钱包提供商审查其暴露情况并进行升级。它在评估的 1,488 个域中确定了 793 个具有直接 PHP 指纹的域。

支持卡尔达诺区块链开发和治理的会员组织 Intersect 表示，在评估潜在风险时，其会员区已暂时下线。截至撰写本文时，该页面仍处于离线状态。

Coinbase 首席安全官 Jeff Lunglhofer 表示，该公司没有发现任何 PHP 实例被暴露的证据。

“每当我们听到这样的漏洞时，我们都会自动进行全面扫描，以确保一切都尽可能安全。我们还与第三方供应商合作以提供额外的保证。”

数字资产基础设施公司BitGo也表示，其平台未受到PHP漏洞的影响。

与此同时，币安联合创始人赵长鹏周三警告互联网用户在未来几天内访问任何网站时要“格外小心”，因为一些网络管理员可能没有及时更新安全补丁。

OpenAI 发布了 Codex 技能，帮助网站运营商检查可能存在漏洞的 PHP 版本并识别适用的更新，这些更新可以通过 GitHub 访问。

PHP 安全团队表示，在公开披露时尚未发现任何功能性漏洞。