PHP 噩梦后互联网安全了吗？你需要知道的一切

简报

• PHP 的 October 21 发布版本仍然是 PHP2Shell 的唯一修复程序，只有当服务器所有者安装它们并重新启动 PHP 后，它们才能保护服务器。
• Cloudflare 的 CEO 表示，漏洞利用企图攀升至数百万次，而 Germany 的 BSI 和 Japan 政府表示，他们尚未确认任何成功的入侵。
• PHP Foundation 表示在 2024 年发现了其中一个缺陷的迹象，并称修复延迟是“结构性失败”。

在 PHP 中的两个漏洞导致各国政府竞相关闭其网站的一天后，修复程序已经发布，攻击者正在全力以赴，许多人都在问同样的问题：我可以无忧无虑地使用互联网吗，还是应该躲在床下直到下周？

简短的回答是互联网并没有崩溃，对于大多数人来说，风险在于他们访问的网站，而不是他们自己的手机或笔记本电脑。较长的回答则有一些值得注意的告诫。

快速回顾：PHP 是在大约 70% 已知服务器端语言的网站后台运行的软件，而这两个被昵称为 PHP2Shell 的缺陷，让陌生人可以在不登录的情况下控制易受攻击的服务器。

修复了吗？

那么，漏洞利用修复了吗？是的，大部分。根据发布说明，PHP 在 Wednesday 发布了版本 8.5.12, 8.4.27, 8.3.36, 和 8.2.35。“没有完全的缓解措施，更新是唯一安全的选择。”截至 Thursday，PHP 尚未发布任何后续补丁。

不过，修复程序只有在有人安装后才会起作用。PHP 不会自动更新，因此每个托管公司、IT 部门和个人网站所有者都必须在自己的服务器上应用它，然后重新启动软件使其生效。

换句话说，修复程序就在那里，但这并不意味着你访问的网站一定是安全的。

PHP 8.1 及更早版本不再获得官方发布，这使得旧服务器成为薄弱环节，尽管 PHP 的安全团队为自行编译软件的人发布了 7.4, 8.0, 和 8.1 的基础补丁。

真的有人被黑了吗？

攻击者肯定尝试过：Cloudflare CEO Matthew Prince 表示，他的网络在公告发布前的 10 小时内看到了数千次漏洞利用企图，发布后的 45 分钟内有数万次，两小时内有数十万次，此后更有数百万次。

Amazon 更进一步，表示其诱饵服务器在 October 17 记录了一次尝试，也就是这些漏洞公开的四天前。“目前尚不清楚该行为体如何在披露前获取漏洞利用信息，”Amazon CISO CJ Moses 写道，并补充说 PHP2Shell “现在正被广泛利用”。

然而，政府似乎尚未经历任何成功的入侵。Germany 的联邦网络安全机构 BSI 副主席 Thomas Caspers 表示，该机构已经看到了攻击，但没有成功利用这些缺陷的情况，并补充道：“利用这些缺陷似乎比预期的要复杂一些。”Japan 的内阁官房长官 Minoru Kihara 也表示，尚未确认有利用这些缺陷的攻击。