PHP漏洞应对：网站运营方需立即更新版本，普通用户应加强账号安全与防钓鱼保护

BlockBeats 消息，10 月 22 日，据 PHP 官方安全公告，针对「php2shell」漏洞，网站运营方应按所用分支更新至 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，或安装发行版提供的对应修复包。PHP 8.1 及更早版本用户，应升级至受支持分支，或联系发行版及长期支持厂商确认旧版本补丁。

普通用户可参考 CISA 的通用安全建议：一是在邮箱、金融账户等重要账户启用双因素认证；二是为不同账户设置独立强密码，避免密码复用；三是警惕冒充「紧急密码重置通知」的钓鱼邮件，需要改密时自行打开官网或官方 App 操作，避免点击可疑链接。上述措施有助于降低盗号及钓鱼风险，但不能修复服务器端 PHP 漏洞。

Cloudflare 提醒，漏洞位于服务器的 PHP 运行环境，仅更新网站代码或插件无法修复。使用托管服务的用户应联系服务商确认底层 PHP 已更新。Cloudflare 宣布，为 Web 应用防火墙（WAF）新增完整 HTTP 事务检测及响应规则，面向包括免费套餐在内的所有客户开放。修复期间应保持 WAF 防护开启，但 WAF、上传限制等措施不能替代补丁。

网络安全公司 Huntress 建议，企业全面盘点服务器、控制面板及第三方软件中的 PHP 环境，优先修复公网系统；无法及时修复的停服维护版本，应考虑暂时隔离公网访问。同时监测 PHP 进程异常启动命令行、解释器或下载工具等行为，发现可疑活动后隔离服务器，并保留网站及 PHP 日志。