PHP噩梦之后，互联网还安全吗？你需要知道的事_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

PHP噩梦之后，互联网还安全吗？你需要知道的事

2026-10-23 06:45:28

PHP 重大漏洞修复后的安全现状：互联网并未崩溃，但风险犹存

在导致各国政府紧急切断网站连接的 PHP 两个严重漏洞曝光一天后，官方补丁已经发布，攻击者仍在持续尝试利用。此时，许多人都在问同一个问题：我还能放心地使用互联网吗？还是应该躲到床底下等下周再出来？

简短的回答是：互联网并没有崩溃。对于大多数人而言，风险主要存在于他们访问的网站服务器上，而非个人的手机或笔记本电脑。但更详细的解释包含一些值得注意的例外情况。

快速回顾与补丁现状

PHP 是运行在约 70% 已知服务端语言网站背后的软件。此次发现的两个漏洞（昵称“PHP2Shell”）允许未经登录的攻击者直接控制存在漏洞的服务器。那么，漏洞是否已修复？答案是：大部分已修复。

根据 PHP 发布的更新说明，PHP 于周三发布了版本 8.5.12、8.4.27、8.3.36 和 8.2.35。官方声明指出：“没有完整的缓解措施，更新是唯一安全的选择。”截至周四，PHP 尚未发布后续的补充补丁。

然而，补丁只有在被安装后才能发挥作用。PHP 不会自动更新，因此每个托管服务商、IT 部门以及独立网站所有者都必须自行在其服务器上应用补丁并重启软件才能生效。换句话说，虽然补丁已经发布，但这并不意味着你访问的网站一定是安全的。

旧版本服务器的脆弱性与攻击规模

PHP 8.1 及更早版本不再获得官方更新，这使得老旧服务器成为薄弱环节。尽管 PHP 安全团队为自行编译软件的用户提供了针对 7.4、8.0 和 8.1 版本的简易补丁，但这些并非官方正式支持。

攻击者确实进行了猛烈尝试。Cloudflare CEO Matthew Prince 表示，在其网络中，公告发布前 10 小时内观察到数千次利用尝试，公告后 45 分钟内达到数万次，两小时内达到数十万次，此后更是高达数百万次。

亚马逊方面披露了更多细节，称其诱捕服务器在 10 月 17 日（即漏洞公开前四天）就记录到了尝试攻击。“目前尚不清楚攻击者是如何在披露前获取漏洞利用信息的，”亚马逊首席信息安全官 CJ Moses 写道，并补充道“PHP2Shell 现在已在野外被广泛利用。”

政府机构的应对与实际情况

然而，各国政府似乎尚未经历成功的入侵案例。德国联邦网络安全局（BSI）副总裁 Thomas Caspers 表示，该机构看到了攻击行为，但未发现成功利用这些漏洞的情况，并指出：“实际利用比预期的要复杂一些。”日本内阁府长官木原稔也表示，尚未确认有利用该漏洞的攻击事件。

试图撬动门把手不等于成功闯入，因此这两种说法可以同时成立。数百万次的试探性攻击与零起确认的入侵事件算是好消息，但入侵行为往往是在事后才被发现的，而非实时察觉。

修复延迟的原因

这确实发生过。PHP 基金会周三发布的博客文章指出，其在 2024 年的安全工作中“发现了 CVE-2026-109618 背后内存溢出（OOM）问题的早期迹象”，这是两个漏洞之一的核心所在。

基金会表示，团队提出了“几种相互竞争的方法”来修复该问题，但在选择时陷入困境，“担心错误选择的后果”。基金会补充道：“如果没有基金会的资助，就不可能有多人全职从事此问题的研究。”

基金会坦诚地写道：“我们不掩饰：这次延迟是结构性失败的结果，既源于安全团队的决策流程，也源于其资源的匮乏。”基金会还提到，其安全团队过去需要达成共识，现在将改为多数决。对于支撑大部分 Web 运行的软件而言，其安全工作“仍然依赖于少数由基金会资助的开发人员和少量的志愿者帮助”。

离线建议与受影响范围

由于修补需要时间，且无法立即修补的人员收到的官方建议是“离线”。英国国家网络安全中心（NCSC）建议组织考虑“将系统下线，直到完全缓解为止”。

周三期间，大量网站被迫下线。据 TechRadar 报道，受影响的包括 Wikimedia 服务、Orange 在数十个国家的网站和应用、32 项英国政府服务、荷兰医院以及德国联邦 IT 提供商 ITZBund 的服务。

到周四，英国预算责任办公室和爱丁堡市议会网站已恢复在线。但据 DutchNews 报道，荷兰匿名犯罪举报网站 Meld Misdaad Anoniem 等其他网站在周四上午仍处于离线状态。

个人用户的安全建议

目前尚未发生与此相关的数据泄露事件，至少截至目前如此。如果网站服务器仍未打补丁，今天更改密码也无济于事。真正有用的是那些枯燥的基础安全措施：为每个账户使用唯一密码、开启双重身份验证，并密切关注未来几周公司发送的任何关于数据泄露的通知。如果发现泄露，请更改该密码以及任何使用了相同密码的账户。

网站所有者则需要做更多的功课，因为修补漏洞只是关上了门，并不能告知你是否有人在此之前已经潜入。安全公司 Tag1 建议检查是否存在未上传的 PHP 文件、新创建的定时任务和新账户，并对任何运行过易受攻击版本的面向互联网的服务器轮换数据库密码和 API 密钥。

加密货币用户的特别警示

Binance 创始人赵长鹏在 X 平台上给出了简短的建议：“叫我偏执狂吧，但在未来几天访问任何网站时要格外小心。”

被黑的 Web 服务器可能会显示真实网站的伪造版本，而在加密货币领域，这通常意味着一个要求你连接钱包并批准一笔清空资金交易的页面。区块链网络本身可能是安全的，但其前方的网站可能并不安全。

在接下来的几天里，请仔细核对你要签署的内容，收藏常用网站而不是点击链接，如果有条件请使用硬件钱包。到目前为止，尚无加密货币交易所公开报告与 PHP2Shell 相关的泄露事件。

总结与建议

今天的网页浏览安全性与上周差不多，也就是说并非绝对安全。真正的风险在于尚未修补漏洞的服务器，安全公司 Mallory 统计约有 884,000 个面向互联网的服务器主机运行着没有官方修复方案的 PHP 版本。

亚马逊对防御者的建议本质上是：这场风波并未结束。“防御者不应假设公开披露日期是最早的利用日期。”自 10 月 17 日以来运行过易受攻击版本的任何服务器都应进行检查，而不仅仅是修补漏洞。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文