过去48小时，全球软件安全风险持续升温。PHP曝出严重安全漏洞，GitLab、Node.js、LiteLLM及云平台Railway也相继出现高风险安全事件，涉及网站运行环境、代码托管、软件供应链和云端凭据等多个环节。
对于使用WordPress等PHP建站程序的网站运营者而言，及时检查运行环境、更新相关组件并排查潜在风险尤为重要。
PHP漏洞影响广泛，大量网站面临安全风险
PHP开发团队近日针对两项关键安全漏洞发布修复版本，并敦促用户尽快更新。相关漏洞可能被攻击者远程利用，部分已经停止维护的旧版本则无法通过常规渠道获得安全补丁。
PHP广泛应用于WordPress、Drupal、Joomla和Magento等网站系统。W3Techs数据显示，在能够识别服务器端编程语言的网站中，约75%使用PHP，因此此次漏洞可能影响大量网站及服务器环境。
互联网情报机构Censys数据显示，其识别的约260万台运行PHP的主机中，约150万台使用的版本尚无对应修复方案。荷兰、芬兰、法国、日本和韩国等国家的部分政府机构、企业及公共服务网站已采取临时停服、限制服务或紧急维护等措施。
安全机构还发现，相关漏洞在正式公开前已出现利用尝试。随着漏洞细节和修复代码公开，攻击者可能借助自动化工具及生成式AI加快漏洞分析和利用开发，网站运营者需要重点关注漏洞披露后的攻击风险。
GitLab、LiteLLM等多款软件接连曝出风险
除PHP外，近期还有多起值得关注的安全事件：
- GitLab： 修复一项CVSS评分为10分的严重漏洞，该漏洞可能导致未经身份验证的远程代码执行。
- LiteLLM： 其1.107.0版本发布流水线遭到入侵，恶意软件包曾在PyPI上线约1小时43分钟，可能窃取主机中的敏感凭据。
- Node.js： 为多个版本线发布安全更新，其中Brotli解码器越界写入漏洞可能导致远程代码执行。
- Railway： 披露部分客户环境变量可能遭到未经授权的访问，并要求用户轮换API密钥、数据库凭据等敏感信息。
- eMudhra： 部分中间CA证书因密钥随机性不足面临安全风险，相关浏览器已采取限制措施。
这些事件表明，网站安全风险不仅来自建站程序本身，还可能涉及运行环境、第三方依赖、开发工具、数字证书及云平台。
WordPress网站运营者应做好哪些安全检查？
面对近期密集出现的安全事件，WordPress网站管理员及服务器运维人员应优先做好以下工作：
- 检查PHP版本： 确认服务器当前运行的PHP版本及其维护状态，并根据官方安全公告升级至适用的修复版本。对于已停止支持的旧版本，应制定迁移计划。
- 更新WordPress及相关组件： 检查WordPress核心程序、主题、插件和服务器软件的更新情况，优先处理存在已知安全漏洞的组件。
- 排查服务器异常： 检查Web访问日志、系统日志、异常进程和文件变更记录，留意可疑请求、异常登录及未知文件。
- 加强凭据管理： 如果使用的云平台、开发工具或第三方依赖受到安全事件影响，应及时轮换相关API密钥、数据库密码及其他敏感凭据。
- 做好备份与访问控制： 定期备份网站文件和数据库，限制管理后台及服务器的访问权限，并确保备份能够正常恢复。
需要注意，升级PHP前应确认WordPress版本、主题和插件的兼容性，并提前备份网站数据。对于暂时无法升级的旧环境，应评估实际风险，采取访问限制、隔离等临时措施。
随着高风险漏洞不断出现，网站运营者不能仅依赖单次更新来保障安全。持续关注官方安全公告、及时修补漏洞，并加强服务器与第三方组件管理，才能降低网站遭受攻击的风险。
分类：新闻资讯