PHP两个严重漏洞补丁拟发布 研究人员估计影响超130万台联网主机

据The Verge报道，PHP开发者计划于美国东部时间21日上午10时发布安全补丁，修复两个严重程度评分为9.2（满分10）的漏洞。开发者表示，若漏洞细节提前公开或出现被积极利用的证据，补丁可能提前发布，PHP用户被敦促“在版本发布后尽快升级”。

网络安全公司watchTowr称，这两个漏洞属于远程代码执行漏洞，据报影响从PHP 5开始的所有PHP版本，可能让攻击者在受影响服务器上运行自己的代码，从而恶意修改网站、窃取数据等。一名安全研究人员估计，可能受影响的联网主机超过130万台。

WordPress安全插件提供商Wordfence警告，所有WordPress网站都将受影响，因为它们都运行在使用PHP的服务器上。WordPress去年报告称其支撑超过40%的互联网。Wordfence还提醒，该修复无法通过自动更新安装，网站所有者需要确认由谁负责更新PHP，并手动应用补丁。

欧盟计算机应急响应小组和英国国家网络安全中心均发布公告，建议无法立即修补平台的公司将面向互联网的应用与公共网络隔离，或在漏洞完全缓解前彻底下线。移动操作系统开发商GrapheneOS表示，已暂时将其用户讨论论坛下线，因为概念验证漏洞利用已在开发中，他们“不想冒这个险”。PHP开发者Gina Peter Banyard称，打补丁是唯一的缓解措施，否则关闭服务器“可能是最明智的做法”。

多家网络安全组织也提醒PHP管理员做好准备。威胁研究机构Sansec表示，预计“补丁发布后15分钟内就会出现大规模攻击”。Cloudflare首席技术官Dane Knecht说，“我们正看到针对平台PHP网站的早期攻击出现”，Cloudflare正在临时更新防火墙规则，作为补丁可用前的权宜措施。