PHP超危漏洞全球应急

昨天看到工信部漏洞共享平台发紧急提示，说PHP有两个远程代码执行超危漏洞，攻击者不用任何身份验证就能直接入侵。我第一反应是翻自己维护的几个站，果然还有两个跑着旧版本，连夜升级了。这种基础组件的漏洞最要命，因为你根本不知道它藏在哪一层。

Cloudflare那边披露的数据挺吓人：漏洞公开前10小时系统就识别出数千次利用尝试，公告后两小时飙到数十万次，随后到了数百万次。Palo Alto Networks更直接，说识别出超过2260万个暴露实例。我判断这波攻击自动化程度极高，公开即被扫是常态，真正的风险窗口在补丁部署之前。影响面为什么这么大？PHP驱动着全球约70%的互联网基础设施，WordPress、Drupal、Joomla、Magento这些主流CMS全建在它上面。更麻烦的是Huntress指出的，PHP还大量隐身在各类软件内部，有些软件根本不声明自己用了PHP。这意味着很多团队以为自己没事，其实资产清单里漏了一大片。还有个细节值得警惕：亚马逊威胁情报说，漏洞细节公开前就有威胁行为者拿到了相关信息，并对他们的传感器网络发起攻击。NCC Group的人说得直白，脆弱系统可能已经被入侵甚至植入后门。所以光打补丁不够，暴露过的机器得做一次完整排查。这次漏洞是Wiz借助AI工具发现的，他们估计它已潜伏超过十年。Wiz说一名研究员一周内完成了过去世界级团队数月的工作。我的看法是，AI让漏洞发现变快了，但防守方的补丁节奏没跟上，这个剪刀差才是接下来几年最现实的安全挑战。