PHP 于 10 月 21 日发布的安全更新仍是 PHP2Shell 的唯一修复方案。PHP2Shell 是一对可能允许未经身份验证的攻击者控制易受攻击服务器的漏洞。补丁只有在服务器所有者安装并重启 PHP 之后才能发挥作用。

Cloudflare 首席执行官 Matthew Prince 表示，该公司网络上的利用尝试从数千次攀升至数百万次。德国联邦网络安全机构 BSI 和日本政府均表示，尚未确认任何成功的入侵事件。为 PHP 本身的开发提供资金的 PHP 基金会表示，早在 2024 年就发现了其中一个漏洞的迹象，并将解决该问题的延迟描述为“结构性失败”。

这些进展发生在这两个 PHP 漏洞促使政府和机构将网站下线的次日。互联网用户最关心的问题是现在是否还能正常安全地上网。简短的回答是：互联网本身并没有崩溃，大多数用户面临的风险来自他们访问的网站，而非自己的手机或电脑。不过，许多服务器仍需要打补丁。

PHP 是一种开源服务端语言，在约 70% 已知服务端编程语言的网站幕后运行。正是这种广泛的使用，使 PHP 本身的漏洞成为全网范围的打补丁事件，而不是某一家公司的问题。这两个漏洞合称 PHP2Shell，可让陌生人在无需登录的情况下控制易受攻击的服务器。

PHP2Shell 修复了吗？

根据 PHP 的发布说明，PHP 于 10 月 21 日发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本。发布声明称：“没有任何完整的缓解措施，更新是唯一安全的选择。”截至 10 月 22 日，PHP 尚未发布后续补丁。

补丁的发布并不意味着每个受影响的网站都已受到保护。PHP 不会自动更新，托管公司、IT 部门和个人网站所有者必须在自己的服务器上安装相应版本并重启软件，更改才能生效。实际上，防护的普及取决于服务器维护的速度，而非发布的时间，因此仍有多少服务器处于暴露状态，将由运维人员完成部署的速度决定。

PHP 8.1 及更早版本不再获得官方发布，这使得较旧的服务器成为尤为薄弱的环节。不过 PHP 安全团队为自行编译软件的用户发布了针对 7.4、8.0 和 8.1 版本的简易补丁。

是否有服务器被入侵？

攻击者很快就开始探测易受攻击的系统。Prince 表示，在公开披露前的 10 个小时内，Cloudflare 观察到数千次利用尝试，披露后的 45 分钟内增至数万次，两小时内达到数十万次，此后已达数百万次。

https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw

亚马逊表示，其蜜罐服务器在 10 月 17 日记录到一次利用尝试，比漏洞公开披露早了四天。亚马逊 CISO CJ Moses 写道，“目前尚不清楚该行为者在披露之前如何获取利用信息”，并称 PHP2Shell“目前正在野外被广泛利用”。

亚马逊在一份安全博客文章中表示，在公开披露之前就已观察到相关活动。

不过，各国政府当时并未报告确认的成功入侵事件。德国联邦网络安全机构 BSI 副总裁 Thomas Caspers 表示，该机构观察到了攻击，但没有发现漏洞被成功利用。他补充说：“利用该漏洞似乎比预期要复杂一些。”日本内阁房长官木原稔同样表示，尚未确认利用这些漏洞的攻击。

利用尝试与成功入侵是两回事。在尚未确认任何入侵事件的情况下，可能已发生数百万次尝试，而且成功的入侵往往在事后才被发现，而非实时发现。对于关注此事的读者来说，这意味着有关确认入侵事件的消息（如果有的话），将通过后续调查和官方披露而非实时公告传来。

为什么问题没有更早被修复？

PHP 基金会表示，其 2024 年的安全工作“发现了 CVE-2026-109618 背后 OOM 问题的最初迹象”，指的是作为其中一个漏洞核心的内存溢出（out-of-memory）缺陷。

根据基金会对此次安全发布的说明，团队曾提出“几种相互竞争的方案”，但“难以在其中做出选择，并担心交付错误选择的后果”。基金会表示，正是其资金支持才使多人得以全职处理此问题。

基金会写道：“我们不会掩饰：这次延迟是一次结构性失败，既源于安全团队的决策流程，也源于其资源不足。”基金会还表示，安全团队过去需要达成共识才能决策，今后将改为多数表决。

基金会还表示，对于支撑互联网大部分流量的软件而言，其安全工作“仍然依赖一小批由基金会资助的开发人员和少量的志愿者帮助”。

为什么一些网站仍然下线？

打补丁需要时间，而无法立即应用修复的机构得到的官方建议是将系统下线。英国国家网络安全中心在其指导意见中建议各机构考虑“在问题得到完全缓解之前将系统下线”。

据 TechRadar 报道，10 月 21 日受影响的网站和服务包括 Wikimedia 服务、覆盖数十个国家的 Orange 网站和应用、32 项英国政府服务、荷兰医院以及德国联邦 IT 服务商 ITZBund。

英国预算责任办公室和爱丁堡市议会的网站在 10 月 22 日之前已恢复上线。据 DutchNews 报道，包括荷兰匿名举报犯罪网站 Meld Misdaad Anoniem 在内的其他服务在周四上午仍处于离线状态。

用户需要修改密码吗？

至少就目前掌握的信息而言，仅因 PHP2Shell 而这样做并无必要。尚未有确认的数据泄露事件与这些漏洞相关，而且如果某个网站的服务器仍未打补丁，今天修改所有密码也无济于事。

常规的安全措施依然有用：为每个账户使用唯一的密码，启用双因素认证，并在未来几周留意公司关于可能泄露的通知。如果某家公司确认发生泄露，用户应修改受影响的密码以及任何重复使用该密码的账户密码。

网站所有者还有更多工作要做，因为打补丁只能封堵漏洞，却无法说明此前是否已有攻击者进入过服务器。安全公司 Tag1 建议网站所有者排查非本人上传的 PHP 文件、新增的计划任务和新建账户，并建议在所有曾运行易受攻击版本的面向互联网的服务器上轮换数据库密码和 API 密钥。Tag1 的指引可在这里查看。

PHP2Shell 对加密货币用户意味着什么？

币安创始人赵长鹏在 X 上提醒用户：“可以叫我偏执，但接下来几天访问任何网站都要格外小心。”

https://x.com/cz_binance/status/2113029289155178716

被入侵的 Web 服务器可以显示合法网站的伪造版本。在加密货币领域，这类页面可能要求用户连接钱包并批准一笔清空钱包的交易。区块链网络本身可能不受影响，但为网络提供入口的网站可能已被攻破。

用户应仔细核对正在签署的内容，将常用网站加入书签而非点击链接，如有硬件钱包则应使用。截至 10 月 22 日，尚无加密货币交易所公开报告与 PHP2Shell 相关的入侵事件。

现在上网安全吗？

总体而言，如今的网页浏览安全性与上周大致相当，也就是说并非毫无风险。主要的暴露面在于尚未打补丁的服务器。安全公司 Mallory 统计，约有 88.4 万台面向互联网的主机仍在运行不再获得官方修复的 PHP 版本。

亚马逊提醒防御者假定公开披露日期就是最早被利用的日期。“防御者不应假定公开披露日期是最早被利用的日期，”该公司表示。任何自至少 10 月 17 日起运行过易受攻击 PHP 版本的服务器都应接受排查，而不仅仅是打补丁。

Original source: Decrypt