AI-native 工程

政府“拔掉插头”的一周：公共机构为何让 PHP 网站下线，而不是直接打补丁

2026 年 10 月，各国机构要求立即修补 PHP，做不到就下线，多国政府照做：CISA、欧盟、英国和荷兰说了什么

发布 2026-10-25更新 2026-10-255 分钟阅读

PHP公共部门漏洞管理补丁管理事件响应

本文仅用于教育目的，不能替代正式的智能合约审计、法律建议、金融建议或针对具体协议的安全审查。

2026 年 10 月 21 日这一周，美国、欧盟、英国和荷兰的网络防护机构就两个严重的 PHP 漏洞发出了同一条指令：立即打补丁；做不到，就让受影响的系统下线。多国政府正是这样做的。荷兰政府出于预防考虑，让 MijnOverheid.nl、DigiD 等网站下线。在英国，一位部长在上议院表示，有 32 项政府服务无法使用，主要原因是预防性措施。

这件事的教训并不是这些机构失职。当拿到经过验证的补丁需要好几天时，关停服务就是剩下的可控选项；这一周说明，公共部门 IT 处于这种境地的情况相当常见。

范围：本文只依据各机构在 2026 年 10 月 21 日至 23 日之间自行发布的内容。英文原话由本文译为中文转述，荷兰文引文保留原文并附中文翻译。“下线”指预防性措施，用的是这些机构自己的说法。上述来源都没有报告所提及机构遭到确认的入侵，也没有给出下线服务器所占的比例。

一只手拔下电源插头，旁边是熄灭的墙挂目录屏，琥珀色待机灯，机构走廊。 — 概念插图。

按日期回顾

2026 年 10 月 21 日：PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 和 CVE-2026-109619。据 CISA 所述，这两个被称为“php2shell”的漏洞可导致无需认证的远程代码执行。
10 月 21 日：CISA 与欧盟联合声明（欧盟委员会 DG CNECT、ENISA、CERT-EU、欧洲刑警组织 EC3 和欧盟 CSIRT 网络）要求各组织立即打补丁。
10 月 21 日当地时间 15:13：荷兰中央政府通报，其多个网站已出于预防考虑下线，当时更新尚未发布。
10 月 22 日：英国上议院就 PHP 漏洞答复一项紧急质询（Private Notice Question）。
10 月 23 日：CISA 修订其警报，增加一条检测规则，并强化现有的缓解建议。

各机构怎么说

CISA 的警报对后备方案说得很直接：无法立即更新的组织，或仍在使用 PHP 8.1 及更早的不受支持版本的组织，应让基于 PHP 的系统下线，直到能够打补丁或更新为止。警报还提醒，盘点比看上去更难：PHP 常常是其他软件的组成部分，其存在可能无法直接观察到。发布时，CISA 表示尚未观察到这些漏洞在真实环境中被成功利用。

欧盟联合声明措辞更温和，方向一致：如无法立即修复，可考虑将暴露在外的应用与公共网络隔离，直到能够应用修复。声明还指出，许多商业和开源产品在后台依赖 PHP，因此即使看不到 PHP，一些组织也可能受到影响。

在荷兰，政府通报转述了荷兰 NCSC（Nationaal Cyber Security Centrum）的建议。网站所有者应“zelf een risicoafweging te maken en hun websites eventueel preventief offline te halen tot die update er is”（自行评估风险，必要时在更新发布前预防性地让网站下线）。通报还写道：“Dit geldt ook voor Rijksoverheidsorganisaties”（这同样适用于中央政府机构）。

各国政府做了什么

荷兰的通报说，多个网站已“uit voorzorg offline gehaald”（出于预防下线），“Bijvoorbeeld ook overheidswebsites als Overheid.nl, MijnOverheid.nl en DigiD”（例如也包括 Overheid.nl、MijnOverheid.nl 和 DigiD 等政府网站）。通报也给出了另一面：“Op een groot deel van de websites van de Rijksoverheid, zoals Rijksoverheid.nl, wordt geen gebruik gemaakt van PHP”（中央政府的大部分网站，例如 Rijksoverheid.nl，并不使用 PHP）。

在英国，Lloyd of Effra 女男爵于 10 月 22 日代表政府作答。她说，各部门在公开披露之前就已收到通知，并被要求识别可能受影响的系统、评估暴露程度，并准备在缓解措施和更新可用时立即实施。谈到影响，她说：“目前有 32 项政府服务无法使用，4 项部分无法使用。”她表示，这主要源于在应用更新和缓解措施期间为保护系统而采取的预防性措施，而英国 NCSC 的建议是先缓解，再恢复服务。

为什么下线是现实的选择

在披露当天打补丁，需要三个前提：知道 PHP 在哪里运行；你所用的版本分支有修复版本；能在几个小时内完成测试、审批和部署。公共部门的系统往往至少有一个条件不满足。

第一个缺口是盘点。CISA 和欧盟声明都提醒，PHP 会嵌在其他产品里，服务负责人可能要等厂商通知，才知道存在这项依赖。如果 PHP 内置在厂商的设备或软件包中，运维方只能等待该厂商的更新。

第二个缺口是受支持的分支。修复版本覆盖 8.2 至 8.5 分支，而 CISA 把 PHP 8.1 及更早版本称为不受支持的版本。对于仍停留在这些分支上的系统，解决办法是迁移，而不是打补丁，而迁移不可能在一个下午完成。

第三个缺口是变更管理。审批、测试和供应商合同都是为计划内的工作设计的。让服务下线，可以把未知的暴露变成组织可控的已知中断，恢复也可以等到有人核实了实际运行的版本之后再进行。

代价是真实的：公众无法使用相关服务。速度是另一重压力。部长在上议院表示，OpenAI 上周就这一具体的潜在漏洞向 NCSC 作了通报；她还说，“前沿 AI 使识别漏洞成为可能”，这“意味着我们需要更加警惕，更快地做好应用补丁和其他缓解措施的准备”。如果漏洞发现持续加速，瓶颈就在于公共部门 IT 从收到警报到完成经过验证的修复所需的时间。

本文不作的断言

没有确认的入侵。部长表示，政府目前未获悉这些漏洞导致中央政府系统遭到任何确认的入侵。荷兰通报说，“nog geen signalen dat de kwetsbaarheden actief misbruikt worden”（尚无迹象表明这些漏洞正被积极利用）。
没有列入已知被利用漏洞目录。本文于 2026 年 10 月 25 日核查时，CISA 的已知被利用漏洞目录（KEV，版本 2026.10.23）没有收录 CVE-2026-109618 或 CVE-2026-109619。
没有百分比。没有任何官方来源给出公共服务器或网站下线的比例，本文也不给出。
不评判所提及的机构。下线正是 CISA、欧盟和 NCSC 等机构建议的做法。