PHP语言的维护者今天发布了两个严重漏洞的补丁，受影响范围最多可达全球70%的网站。

包括美国国家安全局在内的多家网络安全机构，正在敦促各组织在打补丁期间关停受影响的系统。不少市政机构、学校和私营公司已经照做。内容分发网络运营商Cloudflare和Fastly则报告说，黑客已经在尝试利用这些漏洞。

Fastly首席产品官Kelly Shortridge表示，这不是一个理论上的漏洞。Fastly全球网络每天观察到数十亿次PHP请求，而他们已经看到了活跃攻击的证据。

这两个漏洞合称PHP2Shell，可以让黑客在存在漏洞的服务器上部署恶意代码，在某些情况下安装过程只需要几秒钟。一旦恶意软件攻陷一个网站，它就能读取该网站的数据库，并向访问者发起网络攻击。

两个漏洞的成因

第一个漏洞出现在一段PHP代码收到的数据超出其处理能力的时候。PHP应对这种情况的办法是删除一部分已接收的数据。据PHP维护者称，这次操作之后残留的数据可以被黑客用来发起网络攻击。

第二个漏洞与全局状态有关，也就是程序中多个组件共享的信息。每一份全局状态都与对某个PHP应用的一次特定请求相关联，应用处理完请求后会删除相关联的全局状态。PHP2Shell让恶意代码能够在这些数据被删除之前访问其中一部分，从而为攻击打开大门。

应用安全初创公司OX Security的网络安全研究团队负责人Moshe Siman Tov Bustan说，这几乎是一个关键漏洞能达到的最广泛的程度。如果企业有一个可公开访问的PHP实例却没有打补丁，就应当从“已经暴露”这个假设出发。如果发现了被利用的痕迹，那就要假设已经被攻陷，而不只是暴露。

PHP2Shell背后的底层技术问题在PHP里已经存在了几十年，但研究人员此前一直认为它无法在实际环境中被利用。改变发生在今年8月：网络安全公司Calif.io的一名员工使用GPT-5.6 Sol扫描了PHP的代码库来找漏洞。这次审计由OpenAI资助，结果发现PHP2Shell终究是可以被攻击的。

谷歌旗下的Wiz安全部门随后又发现了若干相关问题。在接下来的几周里，科技公司和网络安全研究人员组成了一个行业小组来处理PHP2Shell。据报道，这项工作产出了超过1万行代码，修复涉及20多个PHP文件。

一次被提前泄露的协同披露

这个联盟原计划在周四发布补丁，但漏洞昨天在一个热门开发者论坛上被泄露。这促使PHP维护者今天匆忙推出修复。

网络安全公司Cobalt的首席信息安全官Andrew Obadiaru表示，禁令被泄露既是一场技术考验，也是一场领导力考验，因为今天真正重要的决定都在任何人掌握全部细节之前就要做出。他说，安全负责人需要能够快速回答几个问题：PHP跑在哪里、谁拥有这些系统、以及当某个系统无法打补丁时谁有权把它下线。

漏洞缓解初创公司Miggo的联合创始人兼首席技术官Itai Goldman解释说，几十年来PHP一直被嵌入网站、应用和第三方软件中，很多组织还在运行不再接收标准安全更新的旧版本。对这类系统来说，“放下一切先去打补丁”并不总是一个可选项。他表示，安全团队需要立刻摸清自己的暴露面，优先处理面向互联网的系统，并与厂商一起确定升级路径或受支持的修复方案。

厂商侧的缓解措施

Cloudflare已更新其CDN，为客户网站提供针对PHP2Shell的防护。但该公司强调，用户仍然应该给自己的系统打补丁。

CrowdStrike等多家企业网络安全厂商也在各自产品中加入了缓解措施。OpenAI这边则发布了一个工具，可以帮助其Codex编程助手的用户找出系统中存在漏洞的PHP安装。