一、最新动态：官方推出安全补丁，攻击行为已现端倪
PHP核心团队于周三（10月21日）火速上线了紧急修复方案，并敦促所有用户即刻执行升级操作。与此同时，国际网络安全组织也发出指引，建议那些暂时无法完成修补的受影响站点，优先考虑中断服务以规避风险。
据亚马逊（Amazon）披露，早在漏洞正式公开前的四天，即10月17日，其用于诱捕黑客的“蜜罐”系统就已监测到试探性攻击。在10月21日披露前夕，又有不同来源的攻击者接连发起尝试。虽然亚马逊目前尚无法断定这些攻击若针对真实生产环境能否成功，但确认该漏洞已被广泛利用。
业界专家担忧，随着修复代码的公开，黑客可能借助人工智能技术快速解析漏洞细节，从而加速对未及时更新网站的渗透。
二、风险等级几何？无需身份验证即可接管服务器
这两处漏洞在CVSS 4.0评分体系中均高达9.2分（满分10分）。欧盟计算机应急响应小组CERT-EU指出，攻击者或许无需任何登录凭证，便能通过互联网在存在缺陷的服务器上运行恶意代码。
托管服务商GoDaddy警示称，潜在后果涵盖数据窃取、页面篡改，乃至整个系统沦陷。
然而，具体是否受波及，还需核查所使用的PHP版本、系统配置及现有防护策略，切勿将使用PHP直接等同于已被入侵。
延伸阅读：OpenAI ChatGPT等AI聊天没保密义务！法庭可调阅 6种内容要小心
三、何为PHP？为何影响范围如此巨大？
PHP是一种广泛用于网站后端开发的编程语言。当用户访问网页时，服务器利用PHP组装内容，随后将渲染好的页面发送给浏览器。作为一款免费且开源的软件，它主要由志愿者社区维护，普通网站运营者通常不会直接接触底层代码。
根据W3Techs统计数据显示，在能够识别后端语言的网站中，约有七成至四分之三依赖PHP。但这并不完全代表其在所有网站中的绝对占比。
鉴于全球约四成网站采用的WordPress主要基于PHP构建，加之Drupal、Joomla和Magento等主流平台同样使用该语言，此次漏洞的影响面极为广阔。
四、亚洲哪些业务暂停？多地发出预警
日本首相高市早苗在周三（10月21日）晚间呼吁企业尽快落实修补工作，若难以及时更新，应考虑暂时关闭网站或其他在线服务。
日本多家大型企业随即采取预防性措施：全日空（ANA）中止了网站及App服务，涉及Apple Wallet登机牌功能；野村证券、三菱日联金融集团及部分地方银行暂停了非核心业务；朝日集团关停部分网站与系统，京阪控股关闭官网；世嘉（SEGA）和万代南梦宫（Bandai Namco）则对旗下部分网站实施紧急维护。
台湾、香港和新加坡的网络安全机构也已相继发布警告及应对指南。澳大利亚部分政府网站在修补期间暂停服务；阿里云和腾讯云则要求客户尽快升级PHP版本。
五、欧洲及全球平台受损情况概览
荷兰国家网络安全中心自身也采取了预防性下线措施，鹿特丹港、政府门户网站、足球协会、五大政党以及部分医院网站随之跟进。
芬兰政府的公共网络服务预防性地断开连接；法国内政部将其旗下所有网站转入预防性维护状态。丹麦亦暂停了部分服务，其中包括全国学校通讯平台。
维基百科的运营方暂时停用了部分支持系统，互联网档案馆也曾短暂离线以处理相关问题。需要强调的是，上述举措并不意味着相关网站已经遭到实际入侵。
六、仅靠WordPress自动更新足够吗？
答案并非肯定。WordPress安全插件开发商Wordfence提醒，常规的自动更新机制无法确保完成此次PHP层面的修补。网站管理者必须明确服务器由谁掌控、是否使用了受影响版本，以及托管服务商是否已完成底层更新。
WordPress.com运营商Automattic声明，使用该公司托管服务的用户以及Tumblr用户不受此次漏洞影响。但对于自行建站或交由其他服务商托管的WordPress站点，仍需单独核实安全性。
特别是那些缺乏专职安全人员且无法直接管理服务器的小型网站，更应主动向托管商进行确认。
七、AI何以兼具防御与攻击双重角色？
美国安全厂商Calif和Alphabet旗下的Wiz分别借助AI技术发现了漏洞，并与PHP团队协同推进修复工作。Calif透露，问题于8月1日被发现，8月11日上报；而Wiz则在8月24日通报了第二项漏洞。
这些问题已潜伏超过十年，以往要证实并利用此类漏洞，需执行极其复杂的步骤。AI不仅降低了研究人员发现漏洞的门槛，同时也让黑客更容易策划大规模攻击。
蒙纳士大学（Monash University）学者Rashina Hoda额外提示，诈骗和网络钓鱼攻击可能会随之激增。
延伸阅读：
AI双面刃！助揪PHP重大漏洞 却让黑客更容易发动大规模攻击
【本文获「联合新闻网」授权转载。】
广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，硕谷新闻聚合所有文章均包含本声明。
暂无评论内容