工信部提示PHP超危漏洞，支付行业面临哪些风险？
10月22日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）发布风险提示，要求相关单位和用户立即排查PHP远程代码执行超危漏洞，及时升级至安全版本，防范服务器受控、敏感信息泄露及业务中断等风险。
此前一天，PHP开发团队紧急发布安全更新，修复两项严重漏洞。由于PHP广泛应用于网站、电子商务平台及各类业务系统，漏洞披露后，欧洲多个国家的部分政府网站临时下线，电商平台和网络基础设施服务商也启动了应急维护。
支付行业也已采取行动。
拉美支付平台Mercado Pago、英国支付机构DNA Payments相继向商户发布安全提示。国内电商技术服务商商派ShopeX、TMO Group披露了客户系统的排查和修复安排。美国密歇根州立大学联邦信用合作社（MSUFCU）则主动暂停网上银行及手机银行服务，开展安全检查和系统更新。
对于支付行业，此次漏洞涉及两类风险。
一类来自商户使用的电商网站及支付接入系统，可能影响收银台、支付接口和订单处理。另一类来自支付机构及服务商自身的业务平台，包括商户管理、交易查询、对账和终端管理等系统。后者的影响范围还可能延伸至线下收单业务。
PHP漏洞引发支付公司和电商服务商响应
此次受到关注的两项漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，严重程度评分（CVSS v4.0）均为9.2分。
PHP是一种广泛用于网站开发的服务器端脚本语言。用户登录网站、提交订单等操作，都可能由服务器上的PHP程序处理。
按照PHP官方10月21日发布的安全公告，攻击者在满足特定条件时，可以通过精心构造的网络请求，让存在漏洞的服务器执行恶意代码。
攻击成功后，黑客可能取得PHP服务进程的运行权限，读取或修改该进程有权访问的文件和数据，甚至影响服务器正常运行。这类攻击不一定需要事先获得网站账号密码。
10月21日，Datadog安全实验室披露，其研究团队成功复现了相关远程代码执行漏洞。研究人员确认，攻击可以发生在网站正常业务程序运行之前，网站自身的登录认证机制未必能够阻止攻击。
漏洞的实际利用仍受到服务器环境等条件限制。
10月22日，专注电商安全研究的Sansec更新风险评估，指出当时公开的攻击代码难以直接攻击默认配置的PHP环境，针对不同服务器部署可能需要额外的环境信息。
10月23日，网络安全公司CrowdStrike进一步指出，要在不同PHP版本及应用环境中稳定实施攻击，需要针对目标配置进行适配。该公司当时尚未在自身监测范围内发现成功利用此次漏洞的真实攻击，但已经观察到相关探测和攻击尝试。
PHP开发团队已发布8.2.35、8.3.36、8.4.27和8.5.12四个安全版本。对于已经停止常规维护的PHP 8.1及更早版本，用户需要升级至受支持版本，或者确认系统供应商是否提供安全补丁。
10月21日，拉美数字支付平台Mercado Pago在官方开发者平台发布通知，提醒商户检查PHP版本并及时修复。
公告明确提及WooCommerce、PrestaShop、Adobe Commerce/Magento等电商系统。Mercado Pago强调，此次漏洞发生在商户服务器的PHP运行环境，而不是支付插件本身。仅更新支付插件，无法解决底层漏洞。
国内电商技术服务商也启动了相应工作。
10月22日，商派ShopeX发布《关于PHP安全漏洞提示及修复建议公告》，表示已启动应急响应，并提出分层处置方案。
对于暂时无法升级的环境，可通过调整PHP安全配置、增加访问控制等方式降低风险。具备升级条件的，则结合业务兼容性和系统稳定性评估，逐步完成版本升级或部署安全补丁。
商派还披露，将主动联系服务期内客户，协助开展环境排查、风险加固和后续修复，并提醒自行负责系统维护的客户及时检查补丁状态。
同日，TMO Group表示，已对负责技术管理的客户项目启动安全排查，包括识别可能受影响的PHP环境、协调部署安全更新，以及验证更新后的关键业务功能。
从线上收银台到线下收单，风险在哪里？
消费者在电商网站提交订单后，通常会进入收银台选择支付方式。商户系统通过接口向支付服务商发起请求，付款完成后再根据交易结果更新订单状态、发货或提供服务。
如果承担这些功能的商户服务器被黑客控制，可能发生几种不同的支付风险。
首先是收银台被篡改。
消费者在网上商城下单后，本应进入正规的付款页面。但如果商户服务器遭到控制，攻击者可能修改支付按钮或跳转地址，将消费者引导至虚假支付页面。
对于通过网页展示收款二维码的商户，攻击者也可能修改页面中的收款信息。
即使商户使用支付机构托管的收银台，支付入口仍可能存在风险。因为消费者通常需要通过商户网站进入付款页面，攻击者可以在这一环节篡改跳转地址，而不必直接攻破支付机构的系统。
第二类风险是支付接口凭证泄露。
商户接入支付公司时，通常需要配置API密钥、证书或其他身份认证凭证。
这些凭证相当于商户调用支付接口的电子通行证。部分凭证可能保存在商户服务器的配置文件、环境变量或密钥管理系统中。
如果服务器遭到控制，黑客可能窃取相关凭证，冒用商户身份调用支付接口。
例如，攻击者可能使用获得的凭证创建支付订单、查询交易记录。如果相关凭证还具备其他业务权限，也可能被尝试用于执行相应操作。
不同接口对应的权限和业务后果并不相同。创建支付订单通常只是生成一笔待付款交易，查询接口可以获取交易状态，而退款等涉及资金变化的操作，还需要满足相应的交易条件和授权要求。
因此，密钥泄露后的影响范围，与其拥有的权限以及支付机构设置的安全控制密切相关。一把只能查询交易的密钥，通常无法直接用于执行需要其他权限的退款操作。
第三类风险是订单状态被恶意修改。
正常情况下，支付机构确认付款成功后，商户才会发货。
但如果商户服务器遭到控制，黑客可能直接修改数据库，将尚未付款的订单改为“支付成功”。
对于依靠系统自动发货的商户，这可能导致商品或服务在没有实际收到付款的情况下被交付。充值卡、游戏道具、数字内容等自动交付商品尤其需要关注此类风险。
这里需要区分商户的订单记录与支付机构的真实交易记录。
商户数据库中的订单状态可以被恶意修改，但支付机构实际完成的扣款和资金交易记录不会因此改变。
正常情况下，商户需要验证支付通知，并核对订单金额及交易结果。如果服务器已经遭到完全控制，攻击者还可能修改验证程序或验证后的订单数据。
此时，商户需要通过未受影响的独立渠道查询支付机构的真实交易记录，再与本地订单及发货信息核对，识别虚假的付款成功记录。
第四类风险涉及支付机构及收单服务商自身的业务系统。
前三种风险主要发生在商户端。如果支付公司的业务服务器使用了受影响的PHP环境，攻击还可能波及商户管理、支付接口、交易查询、对账及代理商管理等系统。
例如，一家聚合支付服务商通过统一后台管理数千家商户的支付接入配置。如果攻击者控制了具有相应权限的服务器，就可能接触多个商户的信息和配置，造成集中性风险。
服务商对不同商户的权限隔离、接口密钥管理及内部系统访问控制，会直接影响攻击的实际后果。
线下收单业务也需要关注相关后台系统。
一家收单机构可能为大量门店提供POS终端、收款码和商户管理服务，并通过后台平台管理终端与商户、门店之间的对应关系，提供设备状态查询、配置管理、交易查询和对账等功能。
如果这些后台服务器使用了存在漏洞的PHP环境，一旦遭到攻击，黑客可能读取其权限范围内的商户及设备信息，或者干扰相关管理服务。
对于拥有较高权限的后台，攻击者还可能尝试利用原有业务接口操作终端配置。但能否修改终端归属或其他关键设置，取决于后台的具体权限及相应安全控制。
这类风险主要集中在后台数据、管理权限和业务连续性。POS终端本身的刷卡、扫码受理流程，不会仅仅因为某个后台系统使用PHP就自动受到影响。
同样存在PHP漏洞，一台只负责展示企业官网的服务器，与一台集中管理大量商户支付配置的服务器，遭到攻击后的业务后果可能相差很大。
金融机构临时停服，漏洞修复还要考虑业务连续性
10月21日，美国密歇根州立大学联邦信用合作社（MSUFCU）因全球网站安全漏洞预警，主动暂停官方网站、网上银行及手机银行服务，开展安全检查和系统更新。
根据该机构公开声明，停服属于预防性措施。期间，银行卡、ATM和线下网点等服务仍然可以使用。
10月22日，该机构陆续恢复数字服务，并表示没有发现会员信息受到侵害的迹象。
这次预防性停服说明，金融机构为排查和修复漏洞，可能需要暂时中断部分业务。
10月23日，英国支付服务提供商DNA Payments也发布了专项安全公告。公司确认，其商户门户、合作伙伴管理后台和电子商务支付解决方案正常运行，支付处理没有中断。
DNA Payments同时披露，已直接联系旗下电商商户，提醒其检查PHP运行环境，并向主机服务商或技术团队确认修复情况。
支付机构能够维护自身平台的安全，但商户网站可能由商户、托管平台或外包技术公司管理，各方需要分别落实负责范围内的修复工作。
据报道，中国台湾第三方支付服务业商业同业公会通知全体会员，排查内部系统及外包服务的PHP使用情况，完成必要修补，并检查异常访问或入侵迹象。
公会还要求会员提醒旗下商户及相关服务使用者，提供修复指引和技术协助。
对于自行维护服务器的商户，修复工作需要由自身技术团队完成。采用托管平台或外包服务的商户，则需要向相应服务商确认更新进度。
对于疑似已经遭到攻击的服务器，还需要检查异常访问、程序文件变化及敏感凭证使用情况。涉及支付业务的，应重点核对接口密钥、支付配置和交易记录。
完成安全排查及漏洞修复后，系统能否正常运行同样重要。
TMO Group在应急公告中提到，完成PHP环境更新后，需要检查结账、支付处理、客户账户及第三方系统集成等关键功能。
一些电商平台和业务系统依赖特定版本的PHP及相关软件组件。如果升级后出现兼容性问题，可能导致订单提交、支付调用等功能异常。
从商户网站到支付机构，再到收单服务商的业务后台，PHP漏洞的修复涉及不同的技术责任。只有明确各方负责的系统，并在修复后验证付款、交易通知和对账等功能，才能尽量降低安全处置对正常支付业务的影响。
这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。
未经允许，严禁转载。发布者：支付之家 转载或引用请注明出处：https://www.zfzj.cn/16063.html
