全球网站广泛使用的程式语言PHP（Hypertext Preprocessor）发现严重保安漏洞，多国政府、银行及私人企业公司预防性紧急关闭网站，防范网络攻击。在香港，资讯科技商会荣誉会长方保侨提醒，有关漏洞可让黑客在未经授权下掌控伺服器，网站管理员应立即盘点系统及安装修补程式，若网站架构较为复杂，暂时无法在短时间内升级修正，最安全应对做法是果断将网站暂时离线或切换至维护模式，待彻底解决安全漏洞后再重新开放。

PHP是什么？

PHP（Hypertext Preprocessor）是一种广泛应用于伺服器端的开源程式码语言，若把网页的HTML 与 CSS 比喻为网站的“外观与骨架”，PHP 就是隐藏在幕后的“大脑与处理器”。

当用户在浏览器点击按钮、填写表单或登入帐号时，伺服器上的 PHP 就会负责处理数据、连接资料库并即时产生相应的动态网页内容。全球最普及的内容管理系统 WordPress以及各类电子商务与企业平台，皆深度依赖 PHP 的运作。

方保侨强调，网站管理员及企业资讯科技团队的当务之急，是尽快完成系统盘点，并安装官方最新发布的安全修补程式。他指，若网站架构复杂，无法在短时间内升级修正，应果断暂时下线，或切换至维护模式，待彻底解决漏洞后再重新开放，不能抱侥幸心理，给黑客可乘之机。

截至香港时间10月21日深夜各地PHP应对：

英国（NCSC）

英国国家互联网安全中心发布明确公告，呼吁所有使用 PHP 的机构立即采取行动。

- 影响范围涵盖 PHP 5 以后版本。
- 建议优先盘点所有对外 PHP 系统，更新至修补版本。
- 若暂时无法修补，可套用官方临时缓解措施。
- 若连缓解都来不及，应考虑将系统下线*，直到完全修复为止。
- 修补后仍需持续监控是否有被入侵迹象。

欧盟（CERT-EU）

- 明确点出两个 CVE，并指出 CVSS 9.2 意味著可能存在未认证远端程式码执行风险。
- 强烈建议立刻准备修补。
- 若无法立即修补，应考虑将对外应用从公网隔离*（或下线），直到修复完成。

荷兰（NCSC 及政府机构）

采取“先下线再修补”的预防性做法。

- 众议院（Tweede Kamer）网站、DigiD、MijnOverheid、荷兰 NCSC 自身网站等多个政府与公共服务网站预防性下线。
- 荷兰 NCSC 表示当时尚未观察到主动利用，但强调“任何对外可及的 PHP 系统在修补前都应视为脆弱”。
- 修补释出后，NCSC 呼吁机构“立即套用”。

日本（IPA）

日本资讯处理推进机构发布预警，要求机构盘点 PHP 使用情况（包括嵌入在软体产品与互联网设备中的 PHP），并准备快速套用修补。部分日本服务（如托育 App、网站建置工具等）预防性暂停服务。