核心摘要
10月22日，PHP官方发布安全公告，针对“php2shell”漏洞给出了修复指引。网站运营方应按当前使用的分支更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35，或安装发行版提供的对应修复包。PHP 8.1及更早版本用户，应升级至受支持分支，或联系发行版及长期支持厂商确认旧版本补丁。
正文解读
普通用户可参考CISA的通用安全建议：一是为邮箱、金融账户等重要账户启用双因素认证；二是为不同账户设置独立强密码，避免密码复用；三是警惕冒充“紧急密码重置通知”的钓鱼邮件，需要改密时自行打开官网或官方App操作，避免点击可疑链接。这些措施有助于降低盗号及钓鱼风险，但不能修复服务器端PHP漏洞。
Cloudflare提醒，漏洞位于服务器的PHP运行环境，仅更新网站代码或插件无法修复。使用托管服务的用户应联系服务商确认底层PHP已更新。Cloudflare宣布，为Web应用防火墙（WAF）新增完整HTTP事务检测及响应规则，面向包括免费套餐在内的所有客户开放。修复期间应保持WAF防护开启，但WAF、上传限制等措施不能替代补丁。
网络安全公司Huntress建议，企业应全面盘点服务器、控制面板及第三方软件中的PHP环境，优先修复公网系统；无法及时修复的停服维护版本，应考虑暂时隔离公网访问。同时监测PHP进程异常启动命令行、解释器或下载工具等行为，发现可疑活动后隔离服务器，并保留网站及PHP日志。
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/php%e6%9b%b4%e6%96%b0%e4%bf%ae%e5%a4%8dphp2shell%e6%bc%8f%e6%b4%9e.htm
