摘要

  • Ofcom于10月23日敦促所有通信服务提供者及数字基础设施领域的关键服务运营者，紧急考虑英国NCSC针对两项PHP漏洞的建议。
  • 监管者表示，接下来数天至数周会与受监督服务沟通，在其现有监管职责背景下了解漏洞如何得到修复。

补丁原本躺在网站运维的待办事项里，现在也到了电信监管者的桌面。Ofcom的10月23日通知点名通信服务提供者和数字基础设施领域的关键服务运营者，要求他们认真对待国家网络安全中心的紧急建议。Ofcom还要在未来数天和数周与受监督服务接触，了解补救工作如何纳入既有监管职责。这一步把技术故障排查变成一份需要说清楚的运营记录。

NCSC警报列出CVE-2026-109618和CVE-2026-109619。前一项涉及内存不足时请求数据未完成初始化，后一项涉及已经释放的内存所留下的旧状态。在特定条件下，这类内存问题可能使未经认证的远程代码执行成为现实。PHP不只出现在面向读者的网站；网络服务的管理界面、辅助系统也可能把它藏在依赖里。先把位置找全，才谈得上修复范围。

PHP项目的安全公告列出8.5.12、8.4.27、8.3.36、8.2.35四个已修复版本，也提醒使用发行版或长期支持供应商包的组织检查其回移植更新。NCSC建议先盘点所有PHP部署，优先处理面向互联网的系统，然后升级；暂时无法升级的，要按官方建议采取临时缓解措施。如果缓解也来不及，应考虑让系统离线。无法立刻升级或关闭时，还应在变更前检查是否留下入侵迹象。

这里有一个容易漏掉的管理问题：谁能说出哪些系统仍暴露、哪些由供应商修补、哪些暂时关停？Ofcom尚未公布具体服务名单或个案结果；它公布的是即将进行的监督沟通。通信运营者最终交代的不能只有“正在处理”四个字，还得有系统清单、处理顺序与每项决定的负责人。