作者：SRAM
首頁正常、表格照收、後台登入到。對好多企業而言，呢幾樣已經足以判斷網站「冇問題」。
PHP2Shell 事件提醒我哋，網站正常運作，同底層軟件安全，係兩回事。
PHP 官方確認，兩個嚴重漏洞可能容許未經登入嘅攻擊者遙距執行程式碼，並已發布修補版本。The Verge 持續追蹤事件，報道部分網站及服務因風險而暫時下線。
對用 WordPress 或其他 PHP 系統嘅企業而言，檢查範圍需要深入到伺服器環境。更新頁面內容、主題或外掛，未必已經處理埋實際運行網站嘅 PHP 版本。
而臨急先升級，亦可能遇上另一個積存已久嘅問題：舊外掛、自訂功能同新版環境未必相容。平日延後嘅維護，最終可能集中喺一次緊急事故入面處理，令企業同時面對安全風險與停機壓力。
從企業管理角度看，網站上線之後仍然需要持續投入。系統清單、更新安排、備份驗證同事故應變，每一項都影響網站出問題時，業務可以幾快恢復。
維護做得好，平日往往冇乜感覺；等到出事先發現缺口，代價就可能涉及查詢、訂單同客戶信任。
如果今日再有一個重大漏洞公布，你間公司係即刻知道由邊個處理，定係先開始問：個網站究竟邊個跟？
出處：PHP 官方安全更新 · The Verge｜PHP2Shell 事件追蹤；本文觀點為獨立編輯分析。