10 月 21 日，据安全公司 Huntress 报道，编程语言 PHP 被曝出两个极其严重的远程代码执行漏洞，官方代号为「php2shell」。由于相关技术细节已提前泄露，PHP 官方被迫将原定补丁发布时间提前至美东时间 10 月 21 日上午 10 点，以争抢窗口期。
正文解读
PHP 是 WordPress、Drupal 等建站系统、企业官网及网络控制面板的底层基石，其覆盖面极广。这两个漏洞被评为最高危级别，攻击者只需向受影响网站发送特制网络请求，就能在服务器上执行任意命令，实现完全接管。更棘手的是，在补丁发布前技术细节尚未完全公开，防守方处于极为被动的状态。
目前，全球安全团队只能通过监控服务器的反常行为来排查潜在入侵。Huntress 指出，黑客利用漏洞得手后，原本处理网页请求的 PHP 程序可能突然启动命令行终端、运行 Python 或调用 curl 下载恶意文件。若服务器出现这类异常联动操作，往往意味着已被入侵。
对于企业和网站管理员而言，时间已非常紧迫。在补丁发布前，应全面盘点内部所有运行 PHP 的环境，包括对外网页服务器及隐藏在产品设备中的 PHP 组件。补丁发布后需优先为公网暴露系统打补丁，仍在维护期外的旧版 PHP 可能等不到官方修复，必须立即采取隔离措施。普通网民若近期遇到网站紧急维护或短暂无法访问，很可能正是各大平台在争分夺秒修补漏洞。
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/php%e9%ab%98%e5%8d%b1%e6%bc%8f%e6%b4%9e%ef%bc%8c%e5%85%a8%e7%90%83%e7%bd%91%e7%ab%99%e5%8f%af%e8%a2%ab%e6%8e%a5%e7%ae%a1.htm
