PHP 維護者為 PHP2Shell 兩項嚴重漏洞發佈修補程式

嚴重 PHP 漏洞促使各機構急忙保障系統安全

PHP 程式語言的維護者今日發布了兩項嚴重漏洞的修補程式，這些漏洞影響全球多達 70% 的網站。

包括美國國家安全局在內的多個網絡安全機構正敦促各機構在部署更新期間關閉受影響的系統。許多市政機構、學校及私人公司已聽從建議。與此同時，內容分發網絡營運商 Cloudflare Inc. 和 Fastly Inc. 表示，黑客已開始嘗試利用這些漏洞。

Fastly 首席產品總監 Kelly Shortridge 表示：「這不是理論上的漏洞。我們每天在 Fastly 的全球網絡上觀察到數十億次 PHP 請求，而且已發現正在發動攻擊的證據。」

這兩種漏洞合稱 PHP2Shell，可讓黑客在易受攻擊的伺服器上部署惡意程式碼。在某些情況下，安裝過程只需幾秒鐘。惡意軟件一旦入侵網站，便可讀取網站的資料庫，並向訪客發動網絡攻擊。

第一種 PHP2Shell 漏洞會在一段 PHP 程式碼收到超出其處理能力的資料時出現。遇到這種情況，PHP 會刪除部分已接收的資料。該語言的維護者表示，操作後剩餘的資料可被黑客用來發動網絡攻擊。

第二種 PHP2Shell 漏洞與全域狀態有關，即由程式的多個元件共用的資訊。每項全域狀態都與向 PHP 應用程式發出的特定請求相關聯。應用程式處理請求時，會刪除相關的全域狀態。PHP2Shell 讓惡意程式碼可在資料被刪除前存取其中部分資料，從而為網絡攻擊打開方便之門。

應用程式安全初創公司 OX Security Inc. 的網絡安全研究團隊主管 Moshe Siman Tov Bustan 表示：「很少有嚴重漏洞的影響範圍會如此廣泛。如果你有可公開存取的 PHP 執行個體，而且尚未安裝修補程式，就應先假設系統已暴露於風險之中。如果發現漏洞遭利用的證據，就應假設系統已遭入侵，而不只是暴露於風險之中。」

PHP2Shell 背後的技術問題已存在於 PHP 數十年。然而，研究人員原以為實際上無法利用這個問題。情況在 8 月出現轉變：網絡安全公司 Calif.io Inc. 的一名員工使用 GPT-5.6 Sol 掃描 PHP 程式碼庫，尋找漏洞。這項由 OpenAI Group PBC 資助的審核揭示，PHP2Shell 原來可以成為攻擊目標。

Google LLC 旗下的網絡安全部門 Wiz 不久後又發現了這個問題的多項其他細節。在接下來幾星期，科技公司和網絡安全研究人員組成業界團體，共同應對 PHP2Shell。這項工作據報產生了超過 10,000 行程式碼，並為超過 20 個 PHP 檔案提供修正。

這個聯盟原定於週四發布修補程式，但漏洞昨日在一個熱門開發者論壇上外洩，促使 PHP 維護者今日趕忙發布修正。

「禁發資訊外洩既是對領導能力的考驗，也是對技術能力的考驗，因為今天的重要決策，往往要在任何人掌握全部細節之前作出。」網絡安全公司 Cobalt Inc. 的資訊保安總監 Andrew Obadiaru 説。「安全主管需要迅速回答幾個問題：哪些地方正在運行 PHP、每個系統由誰負責，以及如果系統無法安裝修補程式，誰有權將其下線。」

「數十年來，PHP 一直嵌入網站、應用程式和第三方軟件中，不少機構仍在使用已不再獲提供標準安全更新的舊版本。對這些系統而言，『放下一切，立即安裝修補程式』並非總是可行的選項。」漏洞緩解新創公司 Miggo Ltd. 的聯合創辦人兼首席技術總監 Itai Goldman 解釋。「安全團隊需要立即確認自身的風險，優先處理面向互聯網的系統，並與供應商合作，制定升級方案或取得受支援的修正方案。」

Cloudflare 已更新其 CDN，以防範針對客戶網站的 PHP2Shell 網絡攻擊。不過，該公司強調，用戶仍應修補系統。CrowdStrike Holdings Inc. 及其他幾家企業網絡安全服務供應商，也已在其產品中加入緩解措施。至於 OpenAI，則推出了一款工具，協助 Codex 編碼助手的用戶在系統中找出存在漏洞的 PHP 安裝項目。

圖片：Pixabay

來自 SiliconANGLE 聯合創辦人 John Furrier 的訊息：

支持我們維持內容開放和免費，請參與 theCUBE 社羣。加入 theCUBE’s Alumni Trust Network，與科技領袖交流、分享資訊並創造機會。

theCUBE 影片的觀眾達 15M+，推動 AI、雲端、網絡安全等領域的交流
theCUBE 校友：11.4k+ — 透過獨特、以信任為基礎的網絡，與逾 11,400 位塑造未來的科技及商界領袖建立聯繫

SiliconANGLE Media 是數碼媒體創新的公認領導者，匯聚突破性科技、策略洞見和即時受眾互動。作為 SiliconANGLE、theCUBE Network、theCUBE Research、CUBE365、theCUBE AI 和 theCUBE SuperStudios 的母公司，並在矽谷和紐約證券交易所設有旗艦據點，SiliconANGLE Media 活躍於媒體、科技與 AI 的交匯處。

SiliconANGLE Media 由科技界先驅 John Furrier 和 Dave Vellante 創立，建立了充滿活力的業界領先數碼媒體品牌生態系統，觸及 15+ million 名頂尖科技專業人士。全新專有產品 theCUBE AI Video Cloud 在受眾互動方面開創新局，運用 theCUBEai.com 神經網絡，協助科技公司作出以數據為本的決策，並在業界討論中保持領先。