中II 网络战与关键基础设施2026年11月3日, 星期二
印度考虑授权CERT-In强制政府机构修补漏洞
据官员11月3日向《经济时报》（Economic Times）透露，新德里正考虑授予网络应急响应小组CERT-In权力，强制政府机构在限期内修补关键漏洞。起因是303个政府和关键行业网站暴露于PHP2Shell漏洞之下。
电子和信息技术部秘书S·克里希南10月24日表示，CERT-In已将约60000个印度网站标记为可能存在漏洞。其中303个属于政府和关键行业：89个中央机构、80个邦和联邦属地机构、51家国有企业和83个关键行业机构。国家信息中心在自身112个关键系统中发现14个存在漏洞并完成修补；其他机构则未设期限。
PHP2Shell是2个严重PHP漏洞的统称，允许攻击者无需登录即可在服务器上执行代码，编号为CVE-2026-109618和CVE-2026-109619，在CVSS 4.0评分中为9.2分。PHP开发者于10月21日发布紧急补丁；8.1及更早版本没有官方补丁。据Free Press Journal，印度尚无确认的受害者。荷兰、芬兰、法国和丹麦已作为预防措施关闭了部分政府网站。
约束来自法律：CERT-In的警告目前不具约束力，因此修补速度取决于各机构自己的决定。各来源对CERT-In通告编号说法不一；一个来源给出的是10月21日的CIVN-2026-0510，另一个则是10月23日的CIAD-2026-0052。
Talay 研判
结论
印度正在讨论从网络安全警告转向网络安全强制。303个关键网站漏洞未补，说明自愿修补制度在公共部门行不通。若设定有约束力的期限，政府机构的信息技术预算和供应商负担将增加；若不设，下一个严重漏洞将重演同样的局面。
可能影响
- 政府信息化不确定1至6个月
有约束力的修补期限将使89个中央机构和80个邦级机构的预算和人员需求提前到来；旧版PHP必须升级。
- 关键基础设施风险负面数周内
虽然没有确认的受害者，但83个关键行业机构暴露在外，把远程代码执行风险带入能源和金融系统。
- 网络保险不确定6个月以上
法定修补期限将厘清已知漏洞所致损失的保障争议；错过期限的机构索赔理由将被削弱。
可能情形（按概率排序）
- 1出台草案，期限未定50%
电子和信息技术部把约束性权力写入规则草案，但具体修补期限仍需与各机构协商。
观察指标: 电子和信息技术部关于CERT-In规则的草案通告
- 2迅速强制30%
某政府网站确认遭PHP2Shell入侵，该部随即发布限期修补指令。
观察指标: CERT-In关于确认PHP2Shell事件的通告
- 3自愿制度延续20%
讨论被搁置，警告维持无约束力的地位。
观察指标: 冬季会期的信息技术立法议程
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- 暴露的政府网站▼ 303个
- 被标记网站▼ 约60000个
- NIC易受攻击系统▼ 14/112