PHP 曝出高危安全漏洞，多款线上游戏开启停机加固，《最终幻想 14》《赛马娘》开展紧急维护

本次 PHP 高危远程代码执行漏洞被公开之后，大量采用 PHP 搭建账号登录、官网、更新服务的网络游戏第一时间启动应急处置，《最终幻想 14》临时限制新用户登录，《赛马娘》全服停机维护，多家游戏厂商同步开展服务器安全加固工作，全程严格做好网络隔离、版本升级、日志审计，顺利守住服务器安全防线，经全面排查确认，没有出现漏洞被恶意利用、玩家账号与游戏数据受损的情况。这次大规模游戏停机维护，核心原因是 PHP 爆出两款未授权远程代码执行高危漏洞，漏洞等级评分高达 9.2 分，攻击者不用登录账号，只需要发送特制网络请求，就能直接在服务器内运行任意指令，一旦防护不到位，就会出现服务器被入侵、用户资料被读取的风险；而大量日系网游的账号系统、官网、补丁更新服务都基于 PHP 开发，正好处于漏洞影响范围之内；再加上漏洞预警发布后，网上很快出现攻击测试脚本，为了把风险降到最低，游戏厂商选择优先关停对外服务，再进行漏洞修复，避免服务器在线期间遭遇攻击。整套应急维护有着清晰完整的执行流程，先对外发布临时维护公告，临时关闭外网访问入口，把服务器放到内网隔离环境；接着备份全部服务器日志与玩家数据，留存完整安全取证记录；随后给 PHP 程序打上官方安全补丁，完成版本升级，同时修改服务器配置，增加 WAF 网络防护策略；完成技术整改之后，再进行多轮渗透测试，确认漏洞彻底封堵；最后逐步开放服务器外网权限，分批次恢复游戏登录服务，同时持续监控服务器运行日志。综合来看，本次紧急停服加固是行业标准的风险防控操作，厂商以短暂停机为代价，彻底消除高危漏洞带来的网络安全隐患，全程保障玩家账号数据安全，待补丁安装与安全测试全部完成后，游戏服务就平稳恢复正常运行。

一、本次漏洞基础信息与受影响游戏清单

1. 漏洞核心参数表

表格

2. 本次开展紧急维护的游戏名单

1. 《最终幻想 14》：暂停全区新玩家登录，仅加固补丁更新服务器，核心游戏服务短暂限流；
2. 《赛马娘 Pretty Derby》：日服、国际服全服停机，完成 PHP 补丁升级与安全巡检；
3. 《碧蓝幻想》《Fate/Grand Order》：官网与账号登录系统临时下线，完成漏洞修复；
4. 《泰坦之路》：游戏客户端与官方网站同步关闭，开展为期最多 3 天的全面安全排查。

二、游戏厂商完整应急处置步骤

步骤 1：风险预警响应，安全团队收到漏洞通告后，第一时间梳理服务器清单，确认账号系统、官网、补丁服务器是否使用 PHP 程序。

步骤 2：网络隔离防护，临时切断服务器外网入口，将服务器划入内网封闭环境，阻断外部攻击通道，避免在线期间被扫描入侵。

步骤 3：数据与日志留存，完整备份服务器运行日志、访问记录、玩家数据库，留存取证材料，防止后续无法追溯攻击行为。

步骤 4：漏洞修复作业，把 PHP 程序升级到官方发布的安全版本；暂时关闭上传进度功能，增加 WAF 规则拦截恶意请求，做好双重防护。

步骤 5：安全渗透测试，安排内部安全人员模拟黑客攻击，反复验证远程代码执行漏洞已经完全封堵，不存在残留风险。

步骤 6：分阶段恢复服务，先开放官网与账号登录功能，再逐步开启游戏大区服务器，同时开启 7×24 小时实时日志监控。

步骤 7：后续长效防护，定期巡检 PHP 版本，收紧服务器访问白名单，定期更换服务器密钥与管理密码。

三、临时防护手段（无法立刻升级补丁时使用）

1. 关闭上传进度功能：在 php.ini 配置文件中将 session.upload_progress.enabled 设置为 Off，阻断其中一条攻击路径；
2. 网关层拦截：在防火墙与 WAF 中拦截带有 PHP_SESSION_UPLOAD_PROGRESS 关键字的请求；
3. 收紧会话策略：开启 session.use_strict_mode，限制攻击者随意自定义会话 ID；
4. 访问管控：仅允许企业内网 IP 访问服务器，外网全部设置白名单，缩小暴露面。

四、本次维护带来的保障成果

1. 安全层面：所有参与加固的游戏均未发现漏洞被利用的痕迹，没有玩家账号信息泄露、游戏存档被篡改的问题；
2. 业务层面：所有游戏均在预定时间内完成补丁更新，平稳恢复全线服务，停机时长严格控制在计划范围内；
3. 玩家权益层面：《赛马娘》等游戏为全体玩家发放游戏道具、付费货币作为停机补偿，妥善安抚玩家体验。

【相关 FAQ】

问题 1：PHP 曝出高危安全漏洞，《最终幻想 14》《赛马娘》为什么要紧急停服加固？

回答 1：本次 PHP 漏洞属于未授权远程代码执行高危漏洞，攻击者可以在不用登录的情况下控制服务器，而两款游戏的账号登录、补丁更新服务都基于 PHP 搭建，处在风险范围内；厂商选择临时停服隔离外网，再升级 PHP 安全补丁，能够彻底避免服务器在线时遭遇攻击，充分保障玩家数据安全。

问题 2：PHP 高危漏洞爆发后，《赛马娘》全服停机加固，有没有出现玩家数据被入侵的情况？

回答 2：《赛马娘》官方在完成全服务器安全审计之后正式对外说明，本次漏洞没有被外界恶意利用，服务器没有出现非法入侵行为，所有玩家账号、养成数据、付费资产都完整保留，没有出现任何信息泄露问题。

问题 3：面对 PHP 高危漏洞，游戏厂商只关闭外网就能保证安全吗，还需要做哪些配套加固操作？

回答 3：仅断开外网只能临时避险，不能彻底封堵漏洞；厂商还需要把 PHP 升级到官方修复版本，同时修改程序配置、部署防火墙拦截规则，完成多轮渗透测试，确认漏洞彻底关闭，之后再逐步恢复外网访问，形成完整防护闭环。

【数据来源】

[2026-10-23]（PHP 高危漏洞波及多款游戏，FF14、赛马娘紧急停机维护）

[2026-10-23]（多款日系网游因 PHP 漏洞开启临时维护）Eurogamer

[2026-10-22]（PHP 远程代码执行漏洞风险预警）

[2026-10-22]（PHP 高危漏洞临时缓解方案）

[2026-10-21]（《最终幻想 14》服务器安全加固维护公告）Lodestone 官方公告

[2026-10-21]（《赛马娘》PHP 漏洞紧急维护通知）Cygames

免责声明

本文内容均来自游戏官方公告、网络安全机构公开预警以及科技媒体公开报道；本次 PHP 漏洞修复方案仅为技术参考，各企业服务器加固需要结合自身业务环境落地；游戏停机维护时长、补偿内容以各游戏官方发布信息为准；本文仅客观记录安全应急事件，不针对任何游戏厂商的运维工作作出评价。