Hacker News 中文摘要

RSS订阅

Dutch National Cyber Security Center is Offline because it uses PHP

原文链接 | HN讨论 | 2026-10-21 22:33:44

因 PHP 存在漏洞，荷兰国家网络安全中心（NCSC）出于防范考虑已临时下线其网站 NCSC.NL，我们正全力寻找解决方案，争取让网站尽快恢复访问。关于这些漏洞的最新信息，建议你查看我们在 NCSC 社区（NCSC Community）的页面。PHP 安全团队已宣布补丁将于荷兰时间 16:00 发布，我们预计在补丁发布后一小时内于 advisories.ncsc.nl 发布公告。

正文

由于 PHP 存在漏洞，我们出于防范已将网站（NCSC.NL）暂时下线。我们正在努力修复，并尽一切可能让网站尽快恢复可用。关于这些漏洞的最新信息，请参阅我们在 NCSC Community 上的页面。

预计 16:00 发布补丁

PHP 安全团队已宣布将发布补丁。补丁计划于荷兰时间 16:00 推出。补丁发布后一小时内，我们预计会在 advisories.ncsc.nl 上发布安全公告。

NCSC 在 Github 上的页面

此外，NCSC 已在 Github 上设立了一个页面。你可以在这里找到关于这些漏洞的技术信息。该页面由 NCSC 持续更新。目前正在对所有与 PHP 相关的软件产品进行清点，以明确哪些产品存在漏洞。

其他信息

在此期间，你也可以在我们的 LinkedIn 页面和 NCSC Community 获取新闻、更新或提出问题。使用我们 CSIRT 服务的组织可访问 MijnNCSC。

需要立即帮助吗？

如有紧急事项，可 24/7 通过 cert@ncsc.nl 联系我们。在办公时间，NCSC 也可通过 (070) 751 55 55 电话联系。

媒体问询

如有媒体问询，请联系：

Roger Kaemingk - 发言人
电话：+31 6 31 10 51 89
邮件：pers@ncsc.nl

Georgine Aerts - 新闻官
电话：+31 6 29 69 15 00
邮件：pers@ncsc.nl
在岗时间：周一至周四

办公时间以外的紧急问题，可通过 070 751 55 30 联系。

评论

讨论气氛混杂着围观、调侃与紧张：大量政府网络安全站点和常用服务因一个 PHP 远程代码执行漏洞主动下线，多数人理解这是合理的紧急避险，也有人继续嘲讽 PHP 生态。分歧主轴在于 PHP 官方是否该提前与大型机构、发行版秘密协调补丁，以及这波集中下线究竟只是 PHP 漏洞，还是夹杂了更广的网络攻击或地缘博弈。

认为大量站点主动下线是面对严重 PHP 漏洞的合理应急

  • 荷兰 NCSC、芬兰国家服务、比利时网络安全中心（CCB）、澳大利亚 cyber.gov.au 等政府站点，以及 OBS、TicketTailor、各类 wiki、私有 tracker、explainxkcd 等纷纷离线；很多人认为这是为了在升级 PHP 前阻止攻击的合理止损，并预计 Cloudflare 等托管 WAF 会在几小时内加规则。（较多人） > “今天早上我就遇到一堆网站为了等 PHP 更新先离线，比如 OBS、TicketTailor 和一堆 wiki。”（@geerlingguy）

认为 PHP 官方应秘密协调大客户与发行版，而非公开补丁暴露利用细节

  • 少数人指出，核心矛盾在于 PHP 团队无法在不暴露利用代码的情况下公开发布补丁；更合理的流程是先在后台与受影响组织、重要发行版协调，让大家先补上漏洞再公开，而不是直接放出补丁和利用细节。（少数人） > “如果不能公开发布 PHP 补丁而不暴露利用代码，那是不是更应该在后台先和这些机构、重要发行版协调，让大家先补上？”（@stingraycharles）

认为问题出在 PHP 生态与老旧版本，继续嘲讽 PHP

  • 不少人借机嘲讽 PHP“又出事”，并把风险归因于长期停留在老旧版本、不愿升级的网站和开发者；这种情绪里也混杂着对 PHP 生态惯性的无奈。（较多人） > “PHP 又来了。”（@phplovesong）

认为不应只责怪 PHP，其他语言也迟早出现同类漏洞

  • 少数人提醒，围攻 PHP 很容易，但这类严重漏洞并非 PHP 独有，Python、Go 等语言未来也可能出现类似问题，因此不必把矛头全对准 PHP。（少数人） > “拿 PHP 开涮很容易，但我怀疑 Python 或 Go 很快也会出现同类漏洞。”（@louwrentius）

认为应尽量交付静态 HTML，减少动态运行时风险

  • 少数人由此推出，关键或简单站点更应直接以静态 HTML 交付，从根本上避免 PHP 运行时被利用。（少数人） > “所以（主要是）静态站点应该直接以静态 HTML 交付。”（@mkesper）

怀疑集中下线并非只因 PHP 漏洞，背后可能有更大范围攻击或地缘因素

  • 少数人提出反直觉的疑问：最近各类站点下线像日常发生，是否只是巧合？会不会是 AI 作祟，或俄罗斯、伊朗发动电子闪电战？若国家级力量正趁世界适应前尽力破坏，那么量化停机成本、判断它究竟是实际打击还是噪音或免费训练，会很有意思。（少数人） > “最近站点下线像是日常，究竟是巧合、AI，还是俄罗斯/伊朗在搞电子闪电战？”（@gaiagraphia）

有价值的补充

  • 该漏洞被社区称为 php2shell，属于远程代码执行（RCE）；知名的 explainxkcd wiki 自称受此漏洞影响，直接关站到第二天。（@amosj）
  • 有人给出 Wayback Machine 的存档链接，方便查看已下线的荷兰 NCSC 页面在离线前的内容。（@HelloUsername）
  • 荷兰政府仍有大量过时 PHP 在运行，甚至有一个专门展示老旧基础防护站点、像“博物馆”一样的存档站，说明攻击面并非偶然。（@aequitas）