素材来源=无可用官方素材；标题去空格=26字符；事件日=10月21日（距交付1天）
PHP 开发团队在安全通报中确认将发布补丁，修复两处按 CVSS 4.0 标准评分均为 9.2 分的漏洞。当地时间 10 月 20 日，欧盟计算机应急响应小组（CERT-EU）发布安全公告，敦促各机构做好补丁发布后立即修复受影响系统的准备，无法及时完成的，应考虑让受影响的网站暂时下线。IT之家 10 月 21 日报道了上述消息，信息来源为路透社。
9.2 分属于什么级别
CVSS 4.0 下的 9.2 分落在严重区间。CERT-EU 在公告中的解释是，这一分值对应未经身份验证即可远程执行代码的风险：攻击者不需要账号、不需要登录，只要能访问到目标，就有可能远程运行恶意代码。
澳大利亚网络安全中心（ACSC）给出了相似的建议。两家机构都表示，目前尚未发现有攻击者实际利用这两处漏洞。
受影响版本仍是空白
CERT-EU 与 ACSC 的表述是 PHP 5 及之后的所有版本都可能受影响，但 PHP 开发团队至今没有公布确切的版本范围，两个说法之间存在一段尚未补齐的距离。
按照 PHP 安全团队通报里的说法，补丁发布时会一并公布漏洞详情、受影响版本与修复版本。在这之前，外界只知道存在两处 9.2 分的漏洞，具体落在哪个组件、需要什么触发条件，都还不清楚。
范围之所以难判断，跟 PHP 的部署方式有关。网络安全公司 Huntress 在博客中写道，从 WordPress、Drupal、Joomla 和 Magento 站点，到共享主机平台、管理面板，再到许多根本不注明底层使用 PHP 的软件，背后都有 PHP 在提供支持。
托管商先列出了后果清单
网站托管服务商 GoDaddy 的警告比较具体：攻击者可能借这两处漏洞在受影响的服务器上执行代码，后果包括数据被窃取、网站内容被篡改，乃至整台系统被攻陷。
对共享主机用户来说，麻烦之处在于补丁不由自己打。同一台服务器上通常跑着大量站点，升级节奏握在托管商手里，站点所有者能做的只是盯住主机商的通知。这是基于共享主机常见运维分工作出的判断，不是官方结论。
补丁出来之前能做什么
在官方公布技术细节前，没有针对漏洞本身的有效缓解手段。机构现在能落地的准备工作主要有两项：一是盘点自家哪些资产跑着 PHP、版本分别是多少，二是把升级窗口和负责人提前定下来，别等补丁上线才开会。
CERT-EU 的措辞是“做好补丁发布后立即修复的准备”。对确实无法及时完成升级的机构，它给出的选项是让受影响的网站暂时下线。
PHP 安全团队的通报没有给出补丁发布的具体日期。
信源：IT之家报道
