摩洛哥发布关于两个PHP漏洞的紧急网络安全警告

12:45

摩洛哥的网络安全机构已就两个影响PHP的重大漏洞发出紧急警告，PHP是一种广泛使用的编程语言，支持全球网站和网络应用程序。该警报强调了依赖潜在脆弱服务器配置的企业、公共机构和数字服务提供商面临的风险。

摩洛哥国家国防管理局下属的信息系统安全总局（DGSSI）在2026年10月21日发布的安全公告中将这两个漏洞分类为严重。

这两个漏洞被识别为CVE-2026-109618和CVE-2026-109619，与“PHP2Shell”相关。根据CVSS 4.0评估系统，每个漏洞的严重性得分为10分中的9.2，反映了成功利用可能带来的严重后果。

这些漏洞可能允许攻击者在受影响的系统上远程执行恶意代码，而无需首先获得认证凭据。根据服务器环境和获得的访问级别，入侵可能暴露敏感信息，危害托管应用程序或中断在线服务。

利用代码的可用性增加了紧迫性

概念验证利用代码的发布加剧了网络安全专家的担忧。这类材料可以使恶意行为者更容易测试和调整针对未加固系统的攻击。

PHP在网络开发中被广泛使用，包括使用流行内容管理系统如WordPress构建的网站。它的广泛采用意味着影响某些PHP安装的漏洞可能对广泛的在线服务产生后果。

然而，这些漏洞的存在并不意味着每个使用PHP的网站都已被攻陷。实际的暴露程度取决于部署的软件版本、服务器配置以及是否安装了相关的安全更新。

因此，对于运营在线平台的组织来说，识别脆弱的安装并迅速响应是降低风险的基本步骤。

该警报对摩洛哥尤其相关，因为PHP在使用国家代码域名“.ma”的网站中占据了相当大的份额。

根据2026年10月21日发布的W3Techs数据，PHP在75.4%的可识别服务器端编程语言的.ma网站中被使用。相应的全球份额为69.3%。

这些数字说明了该技术的覆盖范围，但不应被解读为摩洛哥网站的脆弱百分比。它们还排除了使用其他域名扩展（如.com和.net）以及无法识别其底层技术的网站。

这一区分对评估其暴露程度的企业、政府部门和其他组织非常重要。可靠的评估需要检查其基础设施上运行的实际软件版本和配置。

PHP开发团队已发布旨在解决这两个漏洞的修复版本。这些更新包括PHP 8.2.35、PHP 8.3.36、PHP 8.4.27和PHP 8.5.12。

建议组织识别其服务器和应用程序中安装的版本，然后及时部署适当的安全更新。管理员还应验证包含PHP的第三方服务和应用程序是否已收到必要的修复。

运行PHP 8.1或更早版本的系统需要特别关注，因为这些版本不再通过标准PHP发布过程接收常规安全维护。因此，建议迁移到受支持的版本。

如果无法立即更新，组织应评估受影响的系统是否需要隔离或暂时下线，直到建立足够的保护。

DGSSI的警告强调了维护软件、监测漏洞和及时响应安全建议的重要性。对于管理敏感信息或重要在线服务的组织来说，延迟更新可能会使基础设施暴露，即使在修复发布后。

随着摩洛哥继续扩展其数字服务，网站和在线平台的安全仍然是一个关键的运营问题。立即的优先事项是确定哪些系统受到影响，安装适当的补丁，并调查任何可疑活动的迹象。

该警报提醒我们，有效的网络安全不仅依赖于识别威胁，还依赖于确保在漏洞被利用之前实施保护措施。

关键词：