摘要

  • PHP 披露两项可能导致未授权远程代码执行的严重漏洞后，ICANN 暂停了三个基于 PHP 的网站。
  • 新通用顶级域名申请与发布系统因不基于 PHP 而继续运行；补丁测试后，三个网站恢复。

ICANN 的应对在自家网站体系里划出了一条清楚的边界：三个网站暂时熄灯，接收新通用顶级域名申请、发布申请结果的系统继续运行。差别在于底层软件。

10 月 21 日，PHP 项目发布安全公告，指出两项严重漏洞可能允许攻击者在未通过身份验证的情况下远程执行代码。一项涉及内存耗尽时请求数据尚未完整初始化，清理流程却把数据当作有效内容处理；另一项涉及请求内部状态在其内存释放后仍被后续请求使用。PHP 项目列出的修复版本是 8.5.12、8.4.27、8.3.36 和 8.2.35。

ICANN 表示，因三个站点运行 PHP，它暂时关闭了通用名称支持组织（GNSO）网站，以及 2026 和 2012 两轮新 gTLD 项目网站。ICANN 称，没有迹象显示其系统受到负面影响。申请发布与统计系统（APS）和顶级域名申请管理系统（TAMS）并非基于 PHP，因此仍可使用。

这一区别对申请者有实际意义：2026 轮《申请人指南》在项目网站关闭期间仍可从 ICANN.org 获取。10 月 22 日，ICANN 更新称已应用并测试 PHP Foundation 提供的补丁，随后恢复了三个网站。

这次中断时间不长，服务边界却很直观。三个公开网站共用受影响的 PHP 运行环境；申请和发布系统没有这条依赖。临时替代入口让项目核心规则文件继续可达。这组动作说明软件依赖停在哪里：它限制在一组公开网页，没有扩散到该轮项目的每项服务。

ICANN 公告没有列出三个网站实际运行的 PHP 版本。已公布的信息仍足以看出服务切分：先隔离相关网站，核心申请系统继续提供服务，补丁测试后再恢复网站。

来源：ICANN 的应对与恢复公告；PHP 项目安全公告。