事件概要
据环球新闻(Global News)记者Alex Boutilier 10月21日报道,加拿大联邦政府“根据通信安全局(CSE)下属网络安全中心的建议”,预防性地暂时下线了部分联邦政府网站。起因是网页编程语言PHP曝出严重漏洞。报道称,全球约70%的网站以PHP为基础。
加拿大通讯社(The Canadian Press)记者Catherine Morrison同日也作了报道。该社称,部分政府网站下线是为了保护政府系统和加拿大人的信息,依据的是网络安全中心的指导。
部长表态:修补后恢复
环球新闻引述人工智能部长Evan Solomon的话:“部分加拿大政府网站已作为预防措施暂时下线。”报道还说,受影响网站会在补丁安装后恢复。
需要说明的是,本报未能直接获取Solomon在社交平台X上的原帖,上述引语依据的是媒体报道。加拿大国际广播电台(Radio Canada International,RCI)也报道了他的说法:受影响网站会在修复完成后重新上线。
官方警报:两个严重漏洞,补丁已发布
加拿大网络安全中心10月21日发布了编号AL26-026的警报。警报确认,PHP存在两个严重的“释放后使用”(use-after-free,CWE-416)漏洞,编号为CVE-2026-109618和CVE-2026-109619。
受影响的版本如下:
- PHP 8.5.x 早于 8.5.12 的版本
- PHP 8.4.x 早于 8.4.27 的版本
- PHP 8.3.x 早于 8.3.36 的版本
- PHP 8.2.x 早于 8.2.35 的版本
警报还提到:
- 漏洞的概念验证代码已经公开,但“目前尚未发现主动利用”。
- 网络安全中心建议立即更新,优先处理面向互联网的系统。
- 暂时无法修补的,建议先把相关应用隔离起来。
该警报本身没有提到政府网站下线一事。
据环球新闻报道,这些漏洞由安全公司Calif(与OpenAI合作)和Wiz(谷歌旗下)披露。
哪些网站受影响?
联邦政府目前没有公布受影响网站的官方清单。
环球新闻的报道没有说明涉及哪些部门或网站,并称国库委员会(Treasury Board)“没有立即回应”关于受影响网站和修复方式的提问。加拿大通讯社也说,已向国库委员会询问具体下线了哪些网站,截至报道时未获答复。
据RCI报道,周三(10月21日)加拿大网络安全中心和加拿大统计局的网站一度无法访问,纽芬兰与拉布拉多省和爱德华王子岛省的政府网站也处于离线状态。这些说法来自媒体观察,未经政府正式确认。两省网站离线是否与联邦这次的预防措施有关,目前也不清楚。
尚待确认的问题
截至10月22日,以下问题仍没有官方答案:
- 受影响范围: 具体有哪些联邦网站和在线服务下线,没有官方清单。
- 持续时间: 网站下线了多久,官方没有说明。
- 恢复时间: 部长只说会在补丁安装后恢复,没有给出具体时间。加拿大通讯社也说没有恢复时间表。
- 数据安全: 目前没有任何来源证实发生了入侵或数据外泄,官方也没有就数据是否受影响发表声明。
现有信息显示,这次下线是预防措施;网络安全中心目前也没有发现漏洞被主动利用。
对读者意味着什么
近期如果有联邦政府网站打不开,可能和这次预防性下线有关。建议以政府官方渠道发布的消息为准,稍后再试。
自己维护网站或服务器的读者和企业,可以对照网络安全中心AL26-026警报列出的版本号,检查所用的PHP版本,并按警报建议尽快更新。
*消息来源:环球新闻(Global News)、加拿大通讯社(The Canadian Press)、加拿大国际广播电台(RCI)、加拿大网络安全中心警报AL26-026。*