按照我对故障复盘的习惯，我把PHP2Shell 漏洞事实时间线完整梳理下，看看一个漏洞为什么十几年没人修。 1.🔴2012 年前后，漏洞代码进入 PHP。W… · @uudonX · TwKit

@uudonX

按照我对故障复盘的习惯，我把PHP2Shell 漏洞事实时间线完整梳理下，看看一个漏洞为什么十几年没人修。 1.🔴2012 年前后，漏洞代码进入 PHP。Wiz（云安全公司，已被 Google 收购）称 5.4 以来版本受影响，Fastly（CDN 公司，和 Cloudflare 同类）称最早利用路径来自 2012 年。 2. 2012 到 2024 年，漏洞潜伏十几年，未找到公开的发现或利用记录。 3. 2024 年，PHP 首次外部安全审计，Quarkslab（法国安全公司）执行，德国主权技术机构出资。 4.🔴2024 年，PHP 官方：核心开发者修审计问题时发现这个内存问题的苗头，判断"没有具体攻击路径"，修复被搁置。 5. 2024 到 2026 年，PHP 官方：几种修法各有代价，安全团队靠共识决策又缺人，修复反复停摆，基金会自称"结构性失败"。 6.🔴2026 年 7 月 30 日，Calif（安全研究公司，参与 OpenAI 漏洞计划）启动 PHP 审计。 7. 8 月 5 日，Calif 研究员发布哈希，称证明自己最先发现并写出利用。 8.🔴8 月 11 日，PHP 官方：收到 Calif 和 OpenAI 分别报告的同一根因，列为最高优先级。 9.🔴8 月 19 日，Wiz 用 AI 发现漏洞，次日打穿 Drupal，21 日打穿 WordPress（两者都是 PHP 写的主流建站系统），24 日报告 PHP，Wiz 自述。 10. 9 月 18 日，PHP 官方：收到 OpenAI 报告的更多攻击路径。 11. 9 月 21 日，Wiz 称 PHP 此时才确认报告，与基金会说法不一致。 12. 10 月 20 日 23:00 左右，PHP 官方：确认 CVE 编号外流，带错误发版时间和错误评分。 13. 10 月 21 日凌晨，PHP 官方：发布预告，发版提前一天。 14.🔴10 月 21 日 04:00 左右，Calif 误发漏洞演示视频，删除后副本仍在流传。 15.🔴10 月 21 日 15:41，Chainguard（做安全容器镜像的公司）违反保密约定，提前 6 小时放出带补丁镜像。 16.🔴10 月 21 日 19:59，荷兰国家网络安全中心发通报，官网临时下线。 17. 10 月 21 日 20:09，BBC 报道芬兰暂停政府公共网络服务，未见芬兰政府声明。 18. 10 月 21 日 20:55，日本首相高市早苗发文，称来不及修补可暂停网站。 19. 10 月 21 日 21:13，荷兰政府宣布 DigiD（荷兰公民统一登录系统）等网站预防性下线。 20. 10 月 21 日晚，荷兰议会、约 100 个市政府系统、部分高校系统下线，媒体报道。 21.🔴10 月 21 日 21:30 到 22:00，PHP 官方：发布修复版本 8.5.12、8.4.27、8.3.36、8.2.35。 22. 10 月 21 日 21:59，Wiz 发布技术博客，22:04 OpenAI 宣布披露。 23. 10 月 21 日 22:51，PHP 官方：基金会发布复盘，安全团队改为多数决。 24. 10 月 21 日晚，欧盟网络安全应急小组建议隔离无法修补的系统，SANS（美国安全培训和研究机构）威胁等级调为黄色。 25. 披露前是否已被攻击，Fastly 称有在野利用，Cloudflare 据报看到攻击尝试，基金会称未见可用公开利用。 26.截至 10 月 22 日 01:30，没有官方确认的成功入侵案例。

曝光 80 · 评论 0 · 点赞 0 · 书签 0