这是 PHP 引擎本身的缺陷，网站做得再好也无济于事。公开的攻击代码和攻击尝试均已有报告。
一个伪造的请求即可在服务器上执行任意命令，进而导致植入 WebShell、客户信息泄露、网站被篡改、内网被渗透。
2012 年以后几乎所有的 PHP。GnuBoard、YoungCart、WordPress、Rhymix 和自主开发的网站全部在内。
利用公开攻击代码的攻击尝试仍在持续。仅仅更新还不够，必须重启 Web 服务器（PHP-FPM、Apache）才能生效。
8.5.128.4.278.3.368.2.35
及以上 + 重启 Web 服务器
PHP 8.1 及以下没有官方补丁。8.2 也将在 2026 年底结束支持，建议迁移到 8.3 及以上。更新后如不重启 Web 服务器，旧版本会继续运行。
攻击不分对象，正在整个互联网上大规模进行（利用尝试数百万次，媒体报道）。仅在韩国国内，安装了易受攻击 PHP 版本的服务器估计约有 11 万台（安博士 AhnLab 调查，补丁发布前数据）。政府的紧急通知主要发给已申报首席信息安全官（CISO）的企业等，中小企业需要自行应对。
得知个人信息泄露后，须在 72 小时内通知客户；如因黑客攻击导致泄露，还须向个人信息保护委员会或 KISA 申报。
未申报泄露将被处以罚款。
因未尽到安全措施而导致泄露的，可能被处以不超过总销售额 3% 的罚款。
依据：韩国《个人信息保护法》第34条、第64条之2、第75条，同法施行令第39条、第40条（韩国法制处“生活法令信息”、个人信息保护委员会）
政府建议，即使已完成更新的服务器，也要另行检查异常访问记录和是否被植入 WebShell。补丁之前已经进来的黑客，不会因为打补丁而被赶走。
来源：KISA 保护国家（KrCERT） · 数字时报（科学技术信息通信部发布） · The Fact · Help Net Security · Vercel