近期，云安全领域的领军企业 Wiz 的首席技术官 Assaf Luz 接受了 TechCrunch 的专访，深入探讨了近期引发全球互联网震荡的 PHP2Shell 漏洞事件，并提出了一个令人不安的预测：我们即将迎来一场“vulnpocalypse”（漏洞大爆发）。
虽然关于 PHP 漏洞的恐慌在社交媒体上已经逐渐降温，但现实情况远比想象中严峻。Luz 指出，清理工作才刚刚开始。上周，开源脚本语言 PHP（约支撑着全球 70% 的网站）曝出了两个关键漏洞，迫使众多组织不得不紧急关闭服务器，直到安全补丁部署完毕。
PHP2Shell：悬在 Web 基础设施上的达摩克利斯之剑
此次危机的核心在于名为“PHP2Shell”的漏洞。这是一个远程代码执行（RCE）漏洞，攻击者可以利用它完全控制服务器。Wiz 团队作为发现该漏洞的研究人员之一，详细揭示了其危害性。由于 PHP 广泛用于构建 Web 应用程序，无论是大型电商平台还是中小企业的门户网站，都极有可能受此影响。
Luz 在采访中强调，这次事件并非孤立的网络安全事故，而是暴露了软件供应链中长期存在的脆弱性。许多网站仍在运行过时的 PHP 版本，且未能及时更新。对于这些组织来说，修复漏洞不仅仅是打补丁那么简单，往往涉及复杂的代码审查和系统迁移，这在高并发的生产环境中是极具挑战性的。
“漏洞大爆发”时代的来临
“vulnpocalypse”这一术语虽然听起来夸张，但在技术圈内却引起了广泛共鸣。Luz 认为，随着互联网基础设施的复杂化以及开源组件的广泛应用，类似 PHP2Shell 这样的重大漏洞只会越来越频繁。
此次事件对行业的影响是深远的。它迫使 CTO 和安全负责人重新审视其云原生安全策略。传统的边界防御已不足以应对内部服务间的攻击。Wiz 的分析表明，攻击者一旦通过 PHP2Shell 获得初始访问权限，往往能横向移动，进而渗透进整个企业网络。
安全重建：从被动防御到主动治理
面对即将到来的“漏洞大爆发”，企业需要采取更主动的安全治理措施。Luz 建议企业不应仅依赖第三方扫描器，而应建立基于云原生的实时监控机制。这意味着在代码开发阶段（DevSecOps）就引入安全检查，而非等到漏洞爆发后才进行补救。
此外，此次事件也凸显了“影子 IT”和遗留系统的风险。许多组织虽然知道旧系统存在风险，但由于业务连续性考虑，迟迟不敢升级。然而，正如 Luz 所警告的，在安全与业务之间，安全往往是底线。一旦发生数据泄露，业务损失将远大于升级成本。
总而言之，PHP2Shell 风波并非终点，而是一个警钟。它提醒所有技术决策者，开源生态的繁荣伴随着不可忽视的安全责任。在这个漏洞大爆发的时代，唯有构建敏捷、可视且自动化的安全体系，才能在数字洪流中立于不败之地。
信息来源：AI News & Artificial Intelligence | TechCrunch，原文链接：https://techcrunch.com/video/wizs-cto-on-php2shell-and-the-coming-vulnpocalypse/
封面图片来源：Unsplash / 摄影师 Bernd 📷 Dittrich
