PHP基金会承认“结构性故障”延误了关键安全修复_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

PHP基金会承认“结构性故障”延误了关键安全修复

2026-10-22 09:44:00

PHP基金会承认安全漏洞修复延迟系“结构性失败”

PHP基金会已承认，由于决策犹豫和资源短缺，导致针对2024年首次发现的关键安全漏洞的修复工作被推迟。基金会将这一停滞不前的应对机制称为一种“结构性失败”。周三，全球各地的政府机构和其他组织出于预防目的暂时关闭了网站，与此同时，PHP发布了针对两个相关关键漏洞的紧急补丁。这些漏洞可能允许未经身份验证的攻击者在无需登录的情况下，在受影响的服务器上执行代码。

PHP是一种广泛用于支撑网站和Web应用程序（包括内容管理系统）的编程语言。

修复过程受阻的原因

在该补丁发布后，基金会在博客文章中描述了其开发人员如何在2024年就发现了该漏洞的迹象，但由于担心破坏基于PHP构建的巨大软件生态系统，他们在寻求解决方案时遇到了困难。

基金会表示：“加上缺乏已知远程代码执行路径的事实，以及拥有必要引擎深层知识的核心开发人员团队规模较小且肩负多项职责，这一决策过程导致修复工作在数月内反复停滞和重启。”

“我们不会掩饰：这次延迟是结构性的失败，既源于安全团队的决策流程，也源于其资源的匮乏。”

8月11日，随着安全公司Calif和OpenAI独立报告了相同的底层问题，基金会再次注意到该漏洞。Calif演示了无条件远程代码执行的能力，这使得该问题成为最高级别的安全优先级。

全球网站因PHP安全恐慌而中断服务

随着开发人员断开网站连接以准备安装紧急修复程序，这种中断现象蔓延至全球。

荷兰：关闭了其数字身份服务，国家网络安全中心（NCSC）也将其网站下线。
芬兰：国家IT提供商Valtori断开了政府公共网络服务的连接。
法国：内政部暂时关闭了省府网站。
德国：联邦IT提供商ITZBund禁用了多个网站。

在澳大利亚，澳大利亚信号局确认其网络安全网站（cyber.gov.au）也是受PHP问题影响的政府站点之一。

日本首相高市早苗在X平台上呼吁网站运营商尽快准备应用补丁。她在帖子中表示，如果无法立即应用补丁，暂时暂停网站功能可以降低风险。

主要平台与企业的应对措施

运营维基百科的维基媒体基金会表示，作为预防措施，他们下线了一些支持服务，包括托管志愿者开发者所用工具和项目的Toolforge及Cloud VPS，导致维基百科的部分内容在周三暂时无法访问。

区块链安全公司SlowMist指出，其MistEye服务调查了加密货币行业中的PHP使用情况，敦促交易所、去中心化金融（DeFi）平台和钱包提供商审查其暴露情况并进行升级。在评估的1,488个域名中，它识别出793个具有直接PHP指纹的域名。

支持Cardano区块链开发和治理的成员组织Intersect表示，它在评估潜在暴露情况期间暂时下线了其会员专区。截至撰写本文时，该页面仍处于离线状态。

Coinbase首席安全官Jeff Lunglhof表示，该公司未发现任何暴露的PHP实例的证据。“每当听到此类漏洞消息时，我们都会自动进行全面扫描，以确保一切尽可能安全。同时，我们也正在与第三方供应商合作以获得额外的保障。”

数字资产基础设施公司BitGo也表示，其平台未受到PHP漏洞的影响。

与此同时，币安联合创始人赵长鹏（CZ）周三警告互联网用户，在接下来的几天里访问任何网站时都要“格外小心”，因为一些网站管理员可能尚未更新安全补丁。

OpenAI已发布一项Codex技能，帮助网站运营商检查可能存在漏洞的PHP版本并识别适用的更新，该功能可通过GitHub访问。

PHP安全团队表示，在公开披露时，他们尚未发现任何功能性利用 exploit。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文