PHP紧急修复：CVSS 9.2漏洞暴露全球互联网底层脆弱性

一句话结论

PHP紧急修复CVSS 9.2漏洞，暴露全球互联网底层脆弱性与维护缺口。

关键要点

• 全球约70%网站依赖的PHP编程语言于2025年10月21日曝出两个CVSS评分9.2的远程代码执行漏洞（PHP2Shell）。
• 捷克志愿者Ondřej Surý在补丁安装前紧急将PHP打包为可安装软件包，Wiz、Calif、OpenAI及Chainguard研究人员借助AI发现该漏洞。
• Cloudflare监测数据显示，漏洞公开前10小时出现数千次利用尝试，公开后45分钟内增至数万次，两小时内达数十万次。
• PHP Foundation承认修复工作因资源不足拖延近两年，称为“结构性失败”，Freexian的Raphaël Hertzog作为应急接手人选。
• 德国、芬兰、法国、比利时等国政府网站及美国CISA、欧盟CERT-EU、英国NCSC发布紧急警告或关闭服务。

背景与事实

2025年10月21日，全球互联网基础设施面临重大安全挑战。作为支撑全球约70%网站的PHP编程语言曝出两个CVSS评分9.2的远程代码执行漏洞，安全团队将其命名为PHP2Shell。该漏洞允许攻击者在未授权情况下执行恶意代码，潜在影响范围覆盖从政府机构到企业服务的广大用户群体。捷克志愿者Ondřej Surý，现任Internet Systems Consortium DNS工程总监，在官方补丁安装前紧急将PHP打包为可安装软件包，为后续修复争取了宝贵时间。Wiz、Calif、OpenAI及Chainguard研究人员借助AI技术发现该漏洞，体现了人工智能在网络安全领域的实际应用。

Cloudflare的监测数据揭示了漏洞利用的紧急态势。在漏洞公开前10小时，已出现数千次利用尝试；公开后45分钟内，利用次数增至数万次；两小时内更达到数十万次。这种指数级增长反映了互联网基础设施在面临重大安全威胁时的脆弱性。PHP Foundation承认修复工作因资源不足拖延近两年，并明确称之为“结构性失败”。作为应急接手人选，Freexian公司的Raphaël Hertzog负责后续的协调工作。值得注意的是，旧版本PHP亦有办法打补丁，为遗留系统提供了修复路径。

政府机构与网络安全组织对此作出快速响应。德国、芬兰、法国、比利时等国政府网站发布紧急安全警告，部分网站甚至临时关闭服务以防范风险。美国网络安全与基础设施安全局（CISA）、欧盟计算机应急响应小组（CERT-EU）、英国国家网络安全中心（NCSC）也相继发布紧急安全通告。这些官方行动凸显了该漏洞对全球互联网安全的深远影响。捷克志愿者Ondřej Surý透露，其工作主要依靠小额捐款支撑，而过去48小时内收到的捐款总额抵得上过去一年的支持。

影响分析

对于中文开发者与从业者而言，此次PHP漏洞事件揭示了互联网基础设施维护的深层问题。分析表明，长期投入不足导致企业及过时消费电子设备易受攻击，形成了系统性风险。特别是开源生态的恶化值得关注：受益于开源技术的商业企业未能有效回报开源贡献者的时间与劳动，这种不可持续的剥削模式正在削弱整个技术社区的基础。对于从事Web开发、系统维护与网络安全的专业人士，事件强调了持续更新与及时响应的重要性。普通用户在面对安全危机时，应信任并听从网络安全专家的建议，提升自身安全意识。

此次事件还凸显了AI在漏洞发现中的关键作用。Wiz、Calif、OpenAI及Chainguard等机构借助AI技术识别出PHP2Shell漏洞，表明人工智能已成为现代网络安全防御体系中不可或缺的一部分。对于技术从业者，掌握AI辅助安全工具的应用能力正在成为新的职业要求。

适用边界

该结论主要适用于使用PHP构建的网站与应用系统，特别是运行在已知受影响版本的环境。对于采用其他编程语言（如Java、Python、Node.js等）构建的系统，需另行评估其安全状况。政府机构发布的紧急警告主要针对PHP相关服务，其他类型网络服务可能不受直接影响。旧版本PHP虽有补丁方案，但具体实施需结合系统实际情况，且不同发行版的补丁应用方式可能存在差异。

孤本观察

PHP Foundation承认的“结构性失败”与Surý依靠小额捐款维持关键维护工作的现实形成鲜明对比，这不仅是技术问题，更是互联网基础设施可持续性面临的深层次挑战。

来源：InfoQ 中文 AI