PHP2Shell 漏洞惊魂 48 小时

这两天做跨境独立站和 SaaS 的朋友应该都没睡好。欧洲多国政府网站集体下线，荷兰 DigiD 和 MijnOverheid 暂停服务，日本 pixiv、Niconico、BOOTH 紧急维护，连寿司郎小程序都挂了。起因是 PHP 两个刚公开编号的漏洞，安全社区直接叫它 PHP2Shell——发一个请求就能在服务器上拿到 shell，CVSS 9.2，不需要账号密码远程就能打。

最要命的是触发时机。在 Apache 这种最常见的部署方式下，攻击发生在网站自己的代码跑起来之前，也就是说你业务层写再多过滤和鉴权都没用，防线在更下面。PHP 官方已经紧急发了 8.5.12、8.4.27、8.3.36 和 8.2.35 四个版本，我的判断是：还在跑老版本 PHP 的团队，这两天别讨论排期了，先升级再说。这次事件真正魔幻的是披露过程。原定 10 月 22 日协调披露，结果 20 日下午 Hacker News 就有人爆料，虽然帖子很快被删但截图已经传开，watchTowr 几小时内确认属实并复现了其中一个。PHP 安全团队当晚被迫把发版提前 24 小时，还罕见地放话：如果细节继续外泄或出现野利用，保留进一步提前的权利。更离谱的是后面。安全公司 Calif 误发了一段演示视频，攻击代码在多个真实目标上跑通，副本在社交平台疯传；第二天早上，提前拿到补丁的发行商 Chainguard 又单方面打破保密协议，抢先发布含修复的镜像。补丁本身就是漏洞地图，对比新旧二进制文件就能反推出漏洞位置和原理。PHP 基金会在复盘里对披露方式非常愤怒，我觉得这口气出得有理。所以别指望 AI 帮你兜底。模型能帮你写补丁说明、生成升级清单，但它没法替你判断一台跑了五年的老服务器上 PHP 到底是怎么编译的，更没法在凌晨三点替你回滚。这种级别的洞，拼的是资产盘点、版本管理和应急流程，全是笨功夫。