[议题] "无法修复，只能关闭" PHP漏洞在日本游戏界引发余波

近日，在广泛用于网站和在线游戏服务器搭建的编程语言“PHP”中发现致命安全漏洞之际，日本出现了不止于检查、甚至直接终止游戏服务的案例。

10月21日，JAGS宣布停止运营自2011年起提供服务的放置型模拟 RPG《救救我的魔界！》。通常停服是由资金问题或人力问题导致的，但此次停服的不同之处在于，原因是近期 PHP 的致命安全漏洞。与此同时，自2011年起运营、在2019年停服后因用户热烈反响而重新开服的旅行模拟游戏《World Quest》也宣布停服。

出问题的“PHP”是全球范围内最广泛用于网站制作或在线服务服务器端（后端）开发的通用编程语言之一。尤其是在移动端及网页游戏中，在构建实时处理客户端发送的各种请求（登录、获取道具、支付、进入关卡等）并与数据库通信的 API 服务器时，它作为核心基础被广泛使用。

事态的开端是于去年10月21日（当地时间）公开的 PHP 核心引擎重大安全漏洞“CVE-2026-109618”和“CVE-2026-109619”，即所谓的“PHP2Shell”。该漏洞在安全威胁评估标准 CVSS v4.0 中获得了 9.2 分这一极高的严重度评级，它存在一个致命缺陷：黑客无需任何认证，仅从外部发送经过构造的请求，就能刺中服务器的内存处理缺陷，进而远程执行任意代码（RCE）。其严重程度足以导致服务器控制权被整体夺取，或数据库内的用户机密信息遭到泄露。

在日本，信息处理推进机构（IPA）和国家网络安全统括室等安全主管部门已立即发布提醒建议、亮起警示灯，而广泛在后端基础设施中使用 PHP 的日本游戏行业也一并进入紧急状态。目前，该问题已通过 PHP 8.5.12、8.4.27、8.3.36、8.2.35 及以上版本应用安全补丁而有所平息，但基于目前已不再提供技术支持的旧版本运行的游戏则出现了问题。这是因为若强制升级 PHP 版本，会产生向后兼容性问题，可能导致既有游戏代码出现异常运行。

对此，两款游戏的运营团队表示，他们从 10 年前相当陈旧的环境起步，一路进行修改与检查，与玩家共同积累了回忆，但如今难以安全应对当前问题，且可能对用户构成威胁，因此只能选择终止服务，他们对这一现实深感遗憾。

此外，在韩国国内也在提供服务的《Princess Connect! Re:Dive》、《Uma Musume Pretty Derby》、《Shadowverse Worlds Beyond》、《Another Eden》、《Heaven Burns Red》等多款游戏，为修复 PHP 安全漏洞，纷纷进入紧急维护。其中多数维持着最新服务器环境，在完成防护措施后，从22日凌晨起陆续恢复服务。

另一方面，此次 PHP 问题不仅在日本，在韩国也进入了应对状态。金融保安院向金融公司发布了 安全建议，韩国互联网振兴院(KISA)也建议各行业进行安全更新。科学技术信息通信部为抢先应对大规模黑客攻击的可能性，将民间领域网络危机警报从“关注”上调至“注意”。