PHP 广泛存在的漏洞或导致大量网站今天宕机

Widespread PHP Flaw May Cause Many Site Outages Today — krebsonsecurity.com · 7 小时前 · 🔒 安全

互联网上接近七成的网站需要立即更新核心软件，以修复一对可让攻击者完全控制受影响服务器的漏洞。据安全博主 Brian Krebs 报道，问题出在 PHP 语言本身——它是 Drupal、Magento、Joomla 和 WordPress 等大量内容发布系统的底层运行环境。PHP 团队已紧急发布安全更新，修补两个严重级别的缺陷，攻击者可利用它们在脆弱服务器上执行任意代码。路透社的消息显示，漏洞信息公开后，欧洲及其他地区已有政府网站出现下线情况。云防护厂商 Cloudflare 表示已观测到实际的攻击利用行为，并于 UTC 凌晨 3:02 在其 Web 应用防火墙中上线了拦截规则，以保护客户网站免遭利用这些缺陷的攻击流量影响；相关攻击可能造成拒绝服务、远程代码执行以及数据泄露等后果。参与漏洞研究与协调披露的 OpenAI 评价称，鉴于缺陷的严重程度和 PHP 的普及范围，这是近年来影响最重大的安全问题之一。互联网主机技术测绘公司 Censys 的近期扫描数据显示，约有 258 万个暴露在公网的主机、5490 万个 Web 站点在运行 PHP，受影响面极为庞大。云安全公司 Wiz 的研究团队指出，过去十年间发布的每一个 PHP 版本都至少受这两个漏洞之一的影响，并将其定性为 PHP 历史上乃至整个软件史上最严重的安全缺陷之一，Wiz 也是获得披露致谢的机构之一。综合各方信息来看，这组漏洞具备可用攻击代码、已在野外被利用、影响版本范围极广三个危险特征，运维人员若未及时升级 PHP 或依赖服务商的防火墙规则兜底，站点今天很可能出现报错页面或被攻击者接管。

核心信息

PHP 官方发布了一项紧急安全更新，修补两个允许远程代码执行的关键缺陷，攻击者借此可在受影响服务器上运行任意代码并取得完整控制权。由于 Drupal、Magento、Joomla、WordPress 等主流建站系统均依赖 PHP 运行，接近 70% 的网站都需要通过更新核心软件来消除风险。
漏洞公开后利用已真实发生：路透社报道欧洲等地多个政府网站当天出现下线，Cloudflare 检测到针对该缺陷的实际攻击流量，并在 UTC 凌晨 3:02 于自家 Web 应用防火墙部署了防护规则，拦截可能引发拒绝服务、远程代码执行和数据暴露的请求。
受影响规模的量化数据相当惊人：Censys 的扫描发现约 258 万个面向互联网的主机和 5490 万个 Web 属性正在运行 PHP；Wiz 的分析则表明，最近十年内发布的所有 PHP 版本都至少命中两个漏洞中的一个。
参与漏洞研究与协调披露的 OpenAI 将其称为近期记忆中影响最大的安全问题之一，而 Wiz 研究团队在披露博客中的措辞更为激进，认为这组缺陷的严重程度足以排在软件历史上最严重漏洞的行列之中。

💡 为什么值得读: 因为漏洞已有实战利用且波及近七成网站，这篇文章能帮你判断自己的站点是否在风险敞口内、以及该按什么顺序补漏。

✍️ 小编看法: 这类底层语言级漏洞最让人头疼的地方在于：它不是某个插件的锅，而是一整代建站系统的公共地基出了裂缝。修补节奏上，PHP 团队走的是紧急更新的路线，但语言官方更新到海量站点真正完成升级之间，往往隔着几周到几个月的灰色地带——尤其是那些跑在老旧共享主机、外包维护的企业官网和没人记得密码的政府系统上。欧洲政府网站当天就出现下线，这个细节很值得玩味：与其说是被打崩了，更可能是运维方在补丁和风险之间选择了主动断网避险，这种「宁停不赌」的决策本身就是严重性的注脚。另一个容易被忽略的信号是 OpenAI 的深度参与。一家以大模型闻名的公司出现在漏洞研究和协调披露的致谢名单里，说明顶级安全团队的打法已经变了——用大规模自动化手段去审计那些暴露面极大的基础软件，可能成为未来的常态。这对防御方是好消息，但也意味着高危漏洞的发现频率可能不降反升，运维团队的应急预算要重新估。对普通站长，我的建议是：别只盯着 PHP 版本号，先确认托管商和 CDN/WAF 供应商是否已部署拦截规则，再安排升级和回归测试；对行业观察者，接下来一周值得追踪两件事——野外利用从探测转向武器化的速度，以及 5490 万个站点的实际修复率曲线，后者才是衡量整个互联网免疫系统的真实成绩单。

🏷️ PHP, vulnerability, exploit, outage