尼泊尔因PHP严重漏洞关闭政府网站——《加德满都邮报》

尼泊尔政府因PHP编程语言中的两项严重漏洞，暂时关闭了政府在线系统。在有关这些问题的信息公开后，紧急安全工作于10月21日晚开始，《加德满都邮报》报道。

隶属于尼泊尔总理办公室和部长会议的软件开发与运营中心，与其他技术中心及政府代表共同成立了紧急小组。该小组决定关闭政府系统，作为防范可能入侵的预防措施。部分系统已经完成更新并恢复运行。

危险等级为严重的漏洞

这些漏洞被分配了CVE-2026-109618和CVE-2026-109619标识符。两者在CVSS 4.0版评分体系中均获得10分制中的9.2分。在特定条件下，攻击者可以发送特制请求，并在无需登录系统或密码的情况下，在存在漏洞的服务器上远程执行恶意代码。

更多最新消息请关注 UA.News Telegram 频道 Telegram.

一旦漏洞被成功利用，攻击者可能获得对机密信息的访问权限、更改网站内容，或入侵系统以发动后续攻击。与此同时，尼泊尔国家网络安全中心的建议并未证实尼泊尔网站已经遭到入侵。

PHP及热门平台的更新

10月22日，国家网络安全中心呼吁各组织检查已安装的PHP版本，并更新至已修复的版本。该警告不仅涉及直接使用PHP的网站，也涉及WordPress、Joomla、Drupal和Magento平台。

该中心建议安装PHP 8.5.12、8.4.27、8.3.36或8.2.35，或相应分支中的更高版本。该建议中没有针对PHP 8.1及更早版本的必要修复，因此建议将其替换为更新、更安全的版本。对于无法立即安装更新的组织，建议限制公众访问存在漏洞的服务，或将其与互联网隔离。