PHP: 在整个网络上肆虐的三个小字母
作者 Terrence O'Brien在编程语言 PHP 中发现的两个漏洞使 互联网的巨大范围陷入危险.
据某些统计，多达 70% 的网站以某种方式使用 PHP。它支撑着 Wikipedia、WordPress、Drupal 以及众多其他热门网站和平台，包括 DeviantArt 和 4Chan，它们在漏洞被披露后 被暂时关闭 。就连政府也未能幸免。
但这并不像更新几台服务器那么简单。该漏洞存在于大约 20 年来的每个 PHP 版本中，其中许多已不再受支持。这意味着一些 不再积极维护的旧网站和服务 面临风险，它们几乎没有选择，只能永久关闭。
以下是安全公司 Wiz 称为“软件史上发现的最严重漏洞之一”这一事件的所有最新进展。
- 10月23日一个人基本上把互联网从 PHP 末日中拯救了出来。
Charlie Warzel 在 The Atlantic 上采访了 Ondřej Surý，这位几乎凭一己之力为本周 漏洞打包补丁的人。这是一场引人入胜的对话，从 Surý 对拯救网络的奇怪淡然，到他担心营利性公司正在利用开源。但他希望这次 AI 辅助的发现 会带来改变：
……现在一切都发展得很快，这对守护这些东西的人来说是一种消耗。与此同时，也许这是一个转折点，让我们真正开始关心这件事……我可能是错的，但我是个乐观主义者，相信人们最终会意识到我们不能永远这样下去。这场灾难已经酝酿了非常非常长的时间。
- 10月22日
灾难性的 PHP 漏洞在补丁发布前数天已被利用
摄影：Amelia Holowaty Krales / The Verge据，黑客曾在漏洞被修复的数天前试图利用这些影响全网网站的PHP漏洞。 亚马逊威胁情报部门的一份报告. 亚马逊首席信息安全官CJ Moses撰文称，公司安全团队于10月17日通过一套旨在诱捕黑客的监控系统发现了一次PHP2Shell漏洞利用尝试，如 此前 Wired 和 Bleeping Computer.
所报道。 周三，各网站争相应用补丁 以修复 影响PHP的两个严重安全漏洞，PHP是一种被互联网上大部分网站（包括WordPress站点）使用的编程语言。这两个漏洞——CVE-2026-109618和CVE-2026-109619——可能使黑客能够在易受攻击的设备上远程执行恶意代码。PHP基金会执行董事Elizabeth Barron告诉 The Verge ，“据我们所知，尚无成功的远程代码执行尝试”，但她强调更新受影响的系统“势在必行”。
阅读文章 > - 10月22日互联网档案馆曾因PHP而被迫短暂下线。
该 网站列表 不得不 下降因最近披露的PHP漏洞而(至少暂时)中断的网站名单还在不断增长。所幸，互联网档案馆的运维团队迅速完成了修补、加固，并恢复了在线服务。数字图书馆员Brewster Kahle 在 Mastodon 上发表了他的感谢 昨晚：“鉴于事态的严重性，昨晚许多组织中都有英雄。本来可能会没有灯光、没有交通信号灯，出现真正的问题。”
- 10月22日两款老式日本手机游戏因PHP漏洞即将停运。
世界任务 和 拯救我的恶魔世界 已运行超过十年，但它们建立在较旧的技术之上，开发者称这些技术无法通过更新来修补该 末日级PHP漏洞利用 本周披露。由于该漏洞影响近20年的PHP，互联网历史的大部分内容面临丢失的危险。 Kotaku:
许多不再被积极更新的旧网站和服务（或者可能由于过于陈旧而无法接收该更新，这两款游戏的情况正是如此）如今面临永久下线的风险。这样的事件将使旧互联网的大片区域从公众视野中消失，包括那些已经开始崩坏、变得无法访问的部分。
- 10月22日PHP2Shell 漏洞利用对 Cloudflare 造成了严重冲击。
CEO Matthew Prince 表示,在问题被 公开宣布 之前的10小时内,公司在整个 Cloudflare 网络上看到了数千次利用该 PHP 漏洞的尝试。在披露后的2小时内,攻击数跳升至“数十万”,到昨晚则达到“数百万”。真糟糕。
Matthew Prince 🌥 (@eastdakota) on X[X（前身为 Twitter）]
- 10月21日
PHP：今天导致全互联网网站瘫痪的三个字母
图片由 Amelia Holowaty Krales / The Verge 提供两个借助 AI 发现的漏洞是今天 4chan、DeviantArt、 Wikipedia以及街角酒吧发布顾客狗狗照片的博客等网站出现重大问题的罪魁祸首。这些“严重漏洞”是在 PHP 编程语言中发现的，而 PHP 支撑着互联网的很大一部分，包括任何基于 WordPress 构建的网站。但影响远不止于此。一些荷兰和芬兰政府机构已作为预防措施将其网站下线。X 上的 NSA Cybersecurity 账号 建议各组织 在“无法立即更新”的情况下将其系统下线，英国的 National Cyber Security Center也是如此。就连 Pokémon Home 和 Pokémon Champions 也被下线了， Kotaku 报道称.
这个漏洞并不算新。据安全公司称，它已经在PHP中存在了大约20年，但利用它“需要一个极其复杂的步骤链，几乎达到了人类研究人员实际所能企及的极限” Wiz称，它在 PHP 中存在了大约 20 年，但利用它“需要一条极其复杂的步骤链，几乎达到了人类研究人员实际能够做到的极限”。然而，强大的 AI 模型使这种将晦涩难懂的缺陷转化为危险漏洞的过程变得容易得多。
阅读文章 > - 10月21日GPT‑5.6 Sol 被用于发现一个严重的 PHP 漏洞。
OpenAI 表示，Calif 的一位安全研究员使用 GPT-5.6 Sol 抢在攻击者之前发现了 PHP 漏洞利用 ，并 分享了一个工具 ，让开发者可以检查自己是否正在使用需要打补丁的、可能存在漏洞的 PHP 版本。同样参与了 PHP2Shell 漏洞利用识别工作的 Google Wiz 安全团队联合创始人 Ami Luttwak 告诉 《华尔街日报》 ，这是“有史以来发现的最严重的 AI 漏洞”。
修补星球：随着智能体发现严重漏洞，全球响应协同展开[OpenAI]
- 10月21日
一个严重的 PHP 漏洞可能今天就让网站瘫痪
这个 PHP 问题听起来是个相当大的麻烦。 插图：Carlo Cadenas / The Verge广泛用于构建网站和网页应用的 PHP 编程语言的安全补丁今天已经发布，旨在修复两个若不加以控制可能对互联网造成严重破坏的严重漏洞。在 周二发布的公告中，PHP 开发者表示这些漏洞的严重程度评分为满分 10 分中的 9.2 分，一些网络安全机构建议，如果网站无法立即应用修复，应暂时将其系统下线。
该安全补丁于今天美国东部时间上午10点发布，PHP 用户被敦促“在补丁发布后尽快升级”。据 网络安全公司 watchTowr称，这些漏洞属于远程代码执行攻击，据报道影响从 PHP 5 开始的每个 PHP 版本，可能使攻击者在受影响的服务器上运行自己的代码，从而恶意篡改网站、窃取数据等。
阅读文章 >
热门文章
热门文章- Microsoft 向 60,000 名员工提供买断方案
- Apple 更新 iPad Mini，配备更大的 OLED 显示屏
- 彼得·蒂尔的福音
- 一位 YouTuber 拆解了 iPhone Duo，并认为他找到了“裂缝门”的原因
- 在屏幕破裂的报告之后，Apple 承认 iPhone Duo 显示屏存在“问题”
这是原生广告的标题