跳到主要内容
AI-native 工程

“逐步关停”：西班牙自治区政府如何应对 2026 年 PHP 警报

CCN-CERT 要求西班牙机构在更新前关停非必要的对外 PHP 服务：卡斯蒂利亚-拉曼恰和安达卢西亚做了什么

发布 更新 5 分钟阅读
PHP公共部门西班牙CCN-CERT补丁管理事件响应

本文仅用于教育目的，不能替代正式的智能合约审计、法律建议、金融建议或针对具体协议的安全审查。

2026 年 10 月 21 日，负责西班牙公共部门的国家 CERT——CCN-CERT——要求各机构立即更新所有 PHP 应用；在完成更新之前，关停非必不可少的对外服务。两天后，卡斯蒂利亚-拉曼恰自治区政府宣布对受影响服务实施“apagado progresivo y temporal”（逐步、临时关停）。在安达卢西亚，地区就业服务机构作为预防措施，将 saempleo.es 及其他官方页面的访问暂停了一个上午。

这两家机构都没有报告自身系统遭到攻击。它们展示的是一个差距：补丁出现的那一天，与一个机构能在众多服务上完成更新和核查的那一天之间的差距。对于仍在运行旧版 PHP 分支、或无法在补丁发布当天完成更新的机构来说，分阶段关停、再分阶段恢复，是落实 CCN-CERT 自身建议的一种可控方式：在完成更新之前，关停非必不可少的服务。

范围：本文只依据 CCN-CERT、卡斯蒂利亚-拉曼恰自治区政府（Junta de Castilla-La Mancha）和安达卢西亚就业服务局（Servicio Andaluz de Empleo）在 2026 年 10 月 21 日至 23 日之间发布的内容。西班牙文引文为本文译文，关键词保留原文。“关停”指预防性措施，用的是这些机构自己的说法。上述来源都没有报告已确认的入侵，也没有给出下线服务器所占的比例。

白天的 IT 办公桌，一只手关掉通用显示器；小西班牙国旗；海军蓝与木色。
概念插图。

按日期回顾

  • 2026 年 10 月 21 日：PHP 项目发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个可能导致无需认证的远程代码执行的严重漏洞，并说明 PHP 8.1 及更早版本已不再获得更新。
  • 10 月 21 日：CCN-CERT 发布警报 AL 11/26，危险等级为“CRÍTICO”（严重），建议立即更新所有基于 PHP 的应用。
  • 10 月 22 日：安达卢西亚就业服务局（SAE）发布通告，称 saempleo.es 及其他官方页面的访问已临时暂停。该通告随后更新，表示访问已经恢复。
  • 10 月 23 日：卡斯蒂利亚-拉曼恰自治区政府表示，其数字化转型局（Agencia de Transformación Digital）正在逐步、临时关停受影响的服务，全面恢复尚无具体时间表。

CCN-CERT 提出了什么要求

警报开头有两句话：“CCN-CERT 建议所有机构立即更新所有基于 PHP 的应用。在完成更新之前，管理员应当关停使用上并非必不可少的对外服务。”（原文：“Hasta que se realice la actualización, los administradores deben apagar los servicios expuestos cuyo uso no sea indispensable.”）。

在建议部分，它为同一情形给出了一个较温和的替代做法：如果无法立即打补丁，机构“应当把使用上并非必不可少、连接互联网的应用隔离起来，直到解决方案可用”。它列出的第一步，是识别所有基于 PHP 的应用。

对运维人员来说，有两个细节很重要。第一，这条指令是有选择的：它针对的是并非必不可少的对外服务，所以必须有人决定哪些服务属于这一类。第二，这份警报在发布版本中把编号写成了“CVE-2026-109618 y CVE-2026-109618”，同一个编号出现了两次。PHP 项目的公告列出的是两个编号：CVE-2026-109618 和 CVE-2026-109619，因此需要用警报来比对扫描器结果或工单的团队，应当回到原始来源核对编号。

卡斯蒂利亚-拉曼恰：逐步、临时关停

自治区政府 10 月 23 日的新闻稿说，数字化转型局“正在对受影响的服务实施逐步、临时关停，以便尽快恢复这些服务”（原文关键词：“apagado progresivo y temporal”）。新闻稿把这一步定位为遵循 CCN-CERT 建议的应急措施，目的是在更新受影响应用期间避免服务暴露。

新闻稿也说明了服务如何恢复：“系统将在完成必要的检查之后逐步恢复”（原文：“de forma progresiva, una vez realizadas las comprobaciones necesarias”）。它还补充说，“全面恢复尚未确定具体期限”。

新闻稿对范围说得很清楚：“这个问题并非卡斯蒂利亚-拉曼恰自治区政府所特有，而是可能影响全球的公共机构和私营实体。”该局还建议私营部门采取同样的措施。新闻稿没有说明自治区政府运行哪些系统或哪些 PHP 版本。

安达卢西亚：就业门户关闭一个上午

SAE 的通告日期为 10 月 22 日，标题为“SAE 通知：saempleo.es 网站及其他官方页面的访问已临时暂停”。通告把这一步描述为“针对全球范围内发现的 PHP 系统问题警示而采取的预防措施”（原文：“medidas preventivas”）。

这则通告有两个特点，使它成为一个有用的范例。一是暂停只是部分的：通告说明，个人和企业的专属服务区、预约服务以及 Gescontrat@ 仍可通过直接链接访问，个人还可以使用应用程序和就业服务点。二是时间很短：更新后的通告说，访问只在上午期间暂停，通过 saempleo.es 访问在线服务的功能已经恢复。

“逐步”二字反映出怎样的补丁能力

逐步关停，在运营层面上等于承认一个机构无法一次更新所有系统。这并不是某一个行政机构的过失。一个地区政府维护着大量门户和应用，往往由不同供应商在不同技术栈上构建，每一个都需要先识别 PHP 运行时，再更新、测试和核查，然后才能重新上线。

受支持的分支是第二个约束。修复版本覆盖 PHP 8.2 至 8.5。仍在 8.1 或更早版本上的服务拿不到正式的修复版本：PHP 项目表示这些分支已不再获得更新，只为 7.4、8.0 和 8.1 提供了最小化的源码 backport，供自行从源码构建的团队使用。除此之外，就需要依靠提供 backport 修复的供应商，或者迁移到受支持的分支。已公开的平台政策显示了地区 IT 部门如何跟踪这一点。加利西亚机构 AMTEGA 的技术平台文件（02.12 版，2026 年 6 月）把 PHP 8.1 及更早版本列为“Obsoleto”（过时），把 8.2 列为当前的机构标准版本（标注“Security Support 12/2026”），并把 8.5 列入 2026 年第二至第三季度的路线图。该文件早于这次警报，没有提及加利西亚自治区政府的应对；我们没有找到任何关于加利西亚是否关停服务的来源。

代价由无法使用服务的市民承担。SAE 的做法说明了如何减轻这种代价：让人们需要办理的事务通过其他途径保持可用，在通告中写明这一点，并在核查完成后尽快恢复公共网站。

受控关停操作手册

  • 维护每一个 PHP 运行时的清单，包括供应商产品内部的 PHP，并记录其分支和负责人。CCN-CERT 的第一步就是识别所有基于 PHP 的应用。
  • 事先把服务划分为必不可少和非必不可少两类，这样在警报期间可以在几分钟内应用 CCN-CERT 的标准，而不是临时争论。
  • 对必须继续运行的服务，提前规划与互联网隔离的方案，也就是 CCN-CERT 给出的替代做法。
  • 准备好公开通告模板：暂停了什么、原因、哪些替代渠道可用、更新信息在哪里发布。SAE 的通告就是一个简洁的范本。
  • 按既定顺序关停，并为每项服务记录下线时间。
  • 恢复之前，核查线上服务实际运行的 PHP 版本。按照卡斯蒂利亚-拉曼恰新闻稿所描述的方式分阶段恢复，并记录每项服务的恢复时间。
  • 事后，对比每项服务的两个时间点。这个差值就是你真实的补丁速度。

相关阅读

本文没有声称什么

  • 没有攻击。三份来源都没有说卡斯蒂利亚-拉曼恰自治区政府、SAE 或其他任何被提及的机构遭到攻击或入侵。
  • 没有百分比。没有任何官方来源给出西班牙下线的公共服务器或网站所占比例，因此本文不提供任何比例。
  • 没有技术栈细节。卡斯蒂利亚-拉曼恰的新闻稿和 SAE 的通告都没有说明这些机构运行哪些 PHP 版本。
  • 不评判被提及的机构。关停非必不可少的对外服务，正是 CCN-CERT 建议的做法。

本周值得问的问题

  • 我们有哪些公共服务在运行 PHP（包括我们采购的产品内部），分别是哪个分支？
  • 其中哪些被我们列为必不可少，由谁批准？
  • 如果明天就必须关停，给用户的通告会怎么写，哪些替代渠道可用？
  • 恢复之前，我们如何证明每项服务运行的是已修复版本？

结语

CCN-CERT 的警报给了西班牙机构两个选项：立即更新，或者在能够更新之前关停非必不可少的服务。卡斯蒂利亚-拉曼恰和 SAE 选择了第二个，分阶段进行，并且公开说明。真正值得问的是：你的机构需要多少小时，才能让第一个选项成为可能。

如果你想讨论补丁速度和受控关停在你自己的系统中如何运作，可以通过联系页面与我们沟通。留言时请提及本文和你所考虑的系统，不要包含凭据或机密运营细节。

来源记录

来源查阅日期为 2026 年 10 月 25 日。引文依据已发布的文件。

需要把这些方法应用到你的上线或工作流吗？

申请技术审查，我们会一起梳理最安全的第一步。

申请技术审查查看服务

相关文章