PHP 一个老漏洞，今天让大半个互联网打不开Widespread PHP Flaw May Cause Many Site Outages Today

PHP 爆出两个存在了几十年的严重漏洞，约七成网站需要升级核心软件，攻击者已开始利用，安全公司称其为软件史上最严重的漏洞之一。

今天不少网站大概会直接显示错误页。原因不是被黑，是它们脚下那块地基漏了。

七成网站踩在同一块地板上

PHP 是一种编程语言，WordPress、Drupal、Joomla、Magento 这些建站系统都跑在它上面。PHP 官方紧急发布更新，修两个能让攻击者在自己选定的服务器上执行任意代码的漏洞。

跟踪互联网主机的 Censys 扫描到约 258 万台对公网开放的服务器、5490 万个网站属性在跑 PHP。Wiz 说过去十年发布的每一个 PHP 版本都至少中招一个，5.4 以后全都受影响。

几十年的老毛病，被 AI 捅破了

Wiz 的研究者称，这些底层缺陷存在了几十年，但要把它们串成真正能用的攻击，需要一条极其复杂的步骤链，几乎到了人力的极限。前沿 AI 模型把这个门槛大幅拉低了，一个躺了多年的老漏洞就这样变成了现成的攻击工具。

Cloudflare 已经检测到有人在利用，凌晨 3 点 02 分（UTC）上线防火墙规则拦截。路透社报道，欧洲等地一些政府网站当天掉线。OpenAI 参与了漏洞研究和通报，称这是近年影响最大的安全问题之一。

补丁发了，补不完

修好的版本是 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。问题是 PHP 埋得太深，横跨云厂商、主机商、CDN 和几百万台各自为政的服务器。Wiz 把它比作 2021 年的 Log4Shell：严重到顶，又散得到处都是。

现在该干什么

如果你是站长，去看主机商有没有推 PHP 更新，Ubuntu 已经发了新包。如果只是普通用户，今天遇到打不开的网站，多半不是你的网。