在网络安全领域，没有任何词汇比“这不是演习”更具警示意义。近日，知名科技媒体 Wired 发布了一篇重磅报道，直指全球 Web 开发基石——PHP 语言的严重安全漏洞。PHP 基金会正式披露了两个关键的内存损坏漏洞（CVE-2024-6387 和 CVE-2024-6388），其严重程度足以让数以百万计的网站面临被攻击的风险。安全专家们发出紧急呼吁，要求开发者和服务提供商立即采取行动修补这些漏洞，否则可能引发一场波及全球互联网的“数字火灾”。
这两个被曝光的漏洞并非孤立事件，它们与十年前（2014年）发现的原始漏洞（CVE-2024-4577）存在密切的关联。虽然原始漏洞已被修补，但安全研究显示，攻击者似乎找到了新的变种或利用方式，绕过了旧有的防御机制。新漏洞主要存在于 PHP 的 CGI/FastCGI 处理程序中。当 PHP 以 CGI 模式运行时，如果 Web 服务器（如 Apache 或 Nginx）配置不当，攻击者就可以利用这些内存损坏漏洞，在服务器上执行任意代码。这种攻击通常被称为“远程代码执行”（RCE），一旦得手，攻击者不仅可以窃取敏感数据，还能植入勒索软件或建立僵尸网络，对企业的核心业务造成毁灭性打击。
Wired 的报道指出，这些漏洞的影响范围极其广泛，堪称“牵一发而动全身”。PHP 是目前全球使用最广泛的服务端脚本语言，根据统计数据，超过 77% 的网站使用 PHP，其中包括了 WordPress、Drupal、Magento 以及 Facebook 等知名平台。虽然 WordPress 等主流 CMS（内容管理系统）通常使用 PHP 的更安全模式（如 mod_php 或 FPM），但如果网站服务器配置了旧的 PHP 版本或 CGI 模式，依然处于高危之中。这意味着，只要服务器配置稍有不慎，整个互联网的基础设施都可能成为攻击者的靶子。
更令人担忧的是，这些漏洞的利用门槛相对较低。由于它们属于内存损坏类漏洞，攻击者往往不需要复杂的漏洞利用工具，只需精心构造特殊的 HTTP 请求包，就可能触发漏洞。这种“零日”攻击的特性让防御者难以通过特征库进行拦截，增加了应对的难度。
面对这一严峻形势，PHP 基金会已经发布了紧急补丁。受影响的版本主要是 PHP 8.1.0 到 8.1.1，以及 PHP 8.0.0 到 8.0.31。安全专家强烈建议所有管理员立即将 PHP 升级到安全的版本，即 PHP 8.1.2 或更高版本，以及 PHP 8.2.0 或更高版本。此外，如果服务器必须使用 CGI 模式，务必检查 `cgi.fix_pathinfo` 配置项，并将其设置为 0，以阻断潜在的攻击路径。
总结来说，这次 PHP 漏洞事件再次敲响了 Web 安全的警钟。它提醒我们，即使是经过时间检验的技术栈，如果长期不更新或配置不当，依然会留下致命的隐患。对于数百万依赖 PHP 构建网站的开发者而言，这不仅仅是一次修补任务，更是一次关乎数据安全和业务连续性的生死考验。
信息来源：Wired
原文链接：https://www.wired.com/story/this-is-not-a-drill-2-php-vulnerabilities-are-setting-the-internet-on-fire/
信息来源：Feed: Artificial Intelligence Latest，原文链接：https://www.wired.com/story/this-is-not-a-drill-2-php-vulnerabilities-are-setting-the-internet-on-fire/
