PHP高危漏洞的补丁已经发出，真正棘手的可能不是“有没有补丁”，而是那些没人敢轻易升级的旧网站。 10月21日，PHP项目发布四个安全版本，修复两项可导致未… · @SonicAIWizard · TwKit

@SonicAIWizard

PHP高危漏洞的补丁已经发出，真正棘手的可能不是“有没有补丁”，而是那些没人敢轻易升级的旧网站。 10月21日，PHP项目发布四个安全版本，修复两项可导致未认证远程代码执行的漏洞。简单说，攻击者理论上不必先拿到账号，就可能通过网页请求在易受影响的服务器上运行代码。AI工具协助研究人员发现并分析了漏洞；这不等于AI自己发起了攻击，也不能说明所有PHP网站都已遭入侵。 PHP官方给出的修复版本是8.5.12、8.4.27、8.3.36和8.2.35。官方还提醒，PHP 8.1及更早版本已不再获得PHP项目的常规安全更新；部分Linux发行版和长期支持供应商可能回移补丁，网站运营方必须核实自己拿到的包是否已修复。 这把修复工作分成两条路：仍在受支持版本上的网站，要先找到每一套对外提供网页服务的PHP环境，再更新、测试、部署；依赖老版本的网站，则要确认供应商是否提供回移补丁，否则得安排迁移。补丁不是点一下按钮就结束——旧系统可能牵连应用兼容、停机窗口和测试，一旦拖延，风险窗口也随之拉长。 美联社说，在服务器端语言已知的网站中，约七成使用PHP；这是技术普及率，不是“七成网站都能被攻破”的统计。PHP官方列出的受影响场景包括PHP-FPM、Apache的mod_php和php-cgi等面向网页请求的运行环境。澳大利亚网络安全中心建议机构盘点环境并尽快应用更新；美国CISA也敦促立即修补。 接下来要看的，不只是漏洞有没有公开利用报告，更是企业能否说清自己有哪些PHP实例、其中多少已升级或拿到供应商补丁。AI帮忙把旧漏洞找出来，补丁也已经给到；但真正决定风险能否下降的，仍是资产盘点、旧系统迁移和部署速度。

曝光 76 · 评论 0 · 点赞 0 · 书签 0