PHP噩梦过后，互联网安全了吗？你需要了解这些

在 PHP 中的两个漏洞 导致各国政府匆忙下线其网站的一天后，修复方案已经发布，攻击者正在猛烈攻击，而很多人都在问同一个问题：我能不能无忧无虑地使用互联网，还是应该躲到床底下直到下周？

简短的回答是，互联网并没有崩溃，对大多数人来说，风险在于他们访问的网站，而不是他们自己的手机或笔记本电脑。更长的回答则有一些值得了解的注意事项。

快速回顾：PHP 是在约 70% 已知服务器端语言的网站后台运行的软件，而这两个被昵称为 PHP2Shell 的漏洞，能让陌生人在不登录的情况下控制存在漏洞的服务器。

修复了吗？

那么，这个漏洞利用被修复了吗？是的，基本上修复了。根据 PHP 的 发布说明，PHP 于周三发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本。“没有完整的缓解措施，更新是唯一安全的选择。”截至周四，PHP 尚未发布任何后续补丁。

不过，修复只有在有人安装之后才有帮助。PHP 不会自行更新，因此每家托管公司、IT 部门和独立网站所有者都必须自行在服务器上应用该修复，然后重启软件才能使其生效。

换句话说，修复方案已经存在，但这并不意味着你访问的网站就一定安全。

PHP 8.1 及更早版本不再获得官方发布，这使得较旧的服务器成为薄弱环节，不过 PHP 的安全团队为自行编译软件的人发布了针对 7.4、8.0 和 8.1 的简易补丁。

真的有人被黑了吗？

攻击者当然尝试过：Cloudflare 首席执行官 Matthew Prince 表示，他的网络在公告发布前的 10 小时内看到了数千次漏洞利用尝试，公告发布后的 45 分钟内看到了数万次，两小时内看到了数十万次，而此后已看到数百万次。

亚马逊则更进一步，称其诱饵服务器在 10 月 17 日记录到一次尝试，比这些漏洞公开早了四天。亚马逊首席信息安全官 CJ Moses 写道：“目前仍不清楚该行为者是如何在披露之前获取漏洞利用信息的”，并补充说 PHP2Shell“现已在野被广泛利用”。

然而，各国政府似乎尚未经历任何形式的成功入侵。德国联邦网络安全局 BSI 副局长 Thomas Caspers 表示，该机构已看到攻击，但尚未发现这些漏洞被成功利用，并补充说：“利用起来似乎比预期要复杂一些。”日本内阁官房长官木原稔也表示，尚未确认有任何利用这些漏洞的攻击。

尝试是有人拧动门把手；入侵是有人进了屋，所以这两种说法可以同时成立。数百万次拧动门把手而零次确认的入侵是好消息，但入侵往往是在事后才被发现，而不是实时发现。

为什么没有更早发现这个问题？

某种程度上确实发现了。在周三发布的一篇博客文章中，PHP 基金会表示其在 2024 年的安全工作“发现了 CVE-2026-109618 背后 OOM 问题的最初迹象”，指的是这两个漏洞之一核心处的内存耗尽缺陷。

据该基金会称，团队提出了“几种相互竞争的方案”来修复它，但“难以在这些方案之间做出选择，并担心发布错误选择会带来后果”。它补充说：“如果没有基金会的资助，就不可能有多人全职处理这个问题。”

“我们不会假装事实并非如此：这次延迟是一次结构性失败，由安全团队的决策流程及其资源匮乏共同造成，”该基金会写道，并补充说，其安全团队过去需要达成共识，现在将改为多数决。根据该文章，对于运行着大部分网络的软件而言，这项安全工作“仍然依赖于一小群由基金会资助的开发者以及少量志愿者的帮助”。

为什么有些网站仍然处于宕机状态？

因为打补丁需要时间，而对于任何无法立即打补丁的人来说，“离线”是官方建议。英国国家网络安全中心告诉各组织考虑“在系统能够被完全缓解之前将其下线”。

周三宕机的网站名单迅速变长。据TechRadar报道，其中包括维基媒体服务、遍布数十个国家的Orange网站和应用、32个英国政府服务、荷兰的医院，以及德国的联邦IT服务商ITZBund。

英国预算责任办公室和爱丁堡市议会网站到周四已恢复。据DutchNews报道，其他一些网站，如荷兰匿名犯罪举报网站Meld Misdaad Anoniem，周四上午仍处于离线状态。

我应该更改密码吗？

至少不是因为这个，至少目前还不是。迄今为止，尚无已确认的数据泄露与PHP2Shell有关，而且如果某个网站的服务器仍未打补丁，今天更改所有密码也无济于事。

真正有帮助的是那些乏味的做法：为每个账户设置唯一密码、开启双重身份验证，并在未来几周内留意是否有公司发邮件通知你发生泄露。如果出现这种情况，请更改该密码，以及你重复使用过该密码的任何账户。

网站所有者有更多功课要做，因为打补丁关上了门，但并不能告诉你是否已经有人先进去了。安全公司Tag1建议查找你未上传过的PHP文件、新的计划任务和新账户，并在任何运行过易受攻击版本的面向互联网的服务器上轮换数据库密码和API密钥。

那加密货币呢？

币安创始人赵长鹏在X上给出了一条简短建议：“说我偏执也好，但未来几天访问任何网站都要格外小心。”

被入侵的 Web 服务器可能会向你展示真实网站的伪造版本，而在加密货币领域，这通常意味着一个要求你连接钱包并批准一笔会清空钱包的交易页面。区块链网络本身可能没问题；但它前面的网站可能并非如此。

在接下来的几天里，请反复核对你要签署的内容，把你常用的网站加入书签而不是点击链接，如果你有硬件钱包就使用它。到目前为止，还没有加密货币交易所公开报告与 PHP2Shell 相关的入侵事件。

那么，它安全吗？

如今浏览网页的安全程度与上周大致相同，也就是说并非完美无缺。真正的风险在于那些尚未打补丁的服务器，安全公司 Mallory 统计到大约 884,000 台面向互联网的主机运行着无法获得官方修复的 PHP 版本。

亚马逊给防御者的建议基本上是：这件事还没有结束。“防御者不应假设公开披露日期就是最早的利用日期。”任何自至少 10 月 17 日以来运行过易受攻击版本的服务器都应接受检查，而不仅仅是打补丁。