PHP曝出高危漏洞：网站须立即打补丁，否则暂时下线

本周，全球网站运营者纷纷赶修PHP中新近披露的安全漏洞。PHP是一种开源编程语言，相当大一部分网站都依托它运行。相关警告措辞直白：要么立即安装补丁，要么在完成加固之前让网站下线。

为应对这一问题，多国政府和若干访问量巨大的网站曾短暂关闭。与此同时，攻击者迅速出手，试图赶在服务器完成更新之前利用这一漏洞。

由人类研究人员发现

这些漏洞是由参与“Hack the Planet”计划的人类研究人员发现的。该计划由OpenAI与安全公司Wiz联合开展，Wiz目前已归谷歌所有。研究人员并未借助人工智能发现漏洞，但在利用漏洞时使用了人工智能。

据了解，该漏洞在PHP中潜伏数十年而未被察觉。由于WordPress、Drupal等内容管理系统均以PHP为基础，受影响范围极广。据估算，约70%的网站可能受到波及，数量达数千万个。

修复这一漏洞只能采取公开披露的方式。漏洞深植于互联网的底层架构，根本无法悄悄通知每一个受影响网站的负责人，因此补丁和警告只能同步发布。

攻击尝试达数百万次

此次披露过程招致批评。部分细节似乎在约定的保密期解除前就已外泄，引发黑客争相出手。此外，OpenAI就这一发现发布的文章，其措辞也受到一些观察人士的指摘。

Cloudflare首席执行官表示，利用这一被称为“PHP2Shell”的漏洞发起的攻击尝试已攀升至数百万次。

亚马逊在一篇博客文章中称，其诱捕网络（即“蜜罐”）在漏洞公开宣布之前，就已记录到试图利用该漏洞的行为。

网站或将就此消失

这一事件再度引发讨论：如今互联网有多大比例建立在由小团队或志愿者维护的开源代码之上？亚马逊等大公司有能力发现并抵御此类攻击，但许多小型网站并不具备这样的条件。

还有人担心，一些机构、地方团体和公共部门可能选择关闭老旧网站，而非为其打补丁。如此一来，网络上将出现大量失效链接，存档资料，包括一些零星的网络历史，也可能从此再也无法访问。