美国网络安全机构：黑客正利用两个PHP严重漏洞

美国网络安全和基础设施安全局（CISA）周一（10月26日）发布声明，确认黑客正在积极利用两个PHP漏洞。这两个漏洞均属严重级别，CISA已责令美国政府各民事联邦机构在三天内完成系统修复。

PHP编程语言的维护方不到一周前才针对这两个漏洞发布补丁。攻击者可借助漏洞经由互联网远程侵入存在缺陷的系统，全程无需密码。约70%面向互联网的服务器使用PHP软件，大型网站和应用因此面临风险，部分政府部门和大公司已将网站下线进行修复。

CISA的声明未说明发起攻击的具体是什么人。此前，安全研究人员已表示发现了这两个PHP漏洞遭利用的证据。他们还指出，起初开发可用的攻击程序难度较大，但并非做不到。

这组漏洞被称为“PHP2Shell”，早在两年前就已被发现。当时负责维护该软件的非营利基金会认为，黑客缺乏切实可行的利用方式，漏洞因此一直未获修补。今年早些时候，安全研究公司Calif的研究人员借助人工智能模型，找到了利用这两个休眠漏洞的方法。

PHP只是支撑互联网运行的众多老旧网络技术之一。这类开源项目长期资源和资金不足，难以承担本可能更早发现漏洞的安全审查费用，网络安全隐患因此长期存在。