PHP 关键漏洞预警背后：Web 基础设施老化与维护资源不足

过去一周，全球软件工程师一直在争分夺秒地更新网站后端，此前一个使用 OpenAI 模型的团队在 PHP 这一关键网络软件中发现了两个重大漏洞。

PHP 是一种开源脚本软件，支撑着全球多达 70% 的网站。如果网站所有者不更新到较新版本，PHP 就可能过时，使网站容易受到攻击。有关新漏洞的警报发布后不久，PHP 的新版本随即发布，并敦促站点运营者进行更新。在欧洲，一些政府网站在应用这些更新时一度下线，但对大部分网络而言，修复工作仍要由各个网站所有者自行完成。

但他们会不会去做呢？

更多来自 CNET 的内容

没有法律强制他们这样做，不过如果网站发生数据泄露，所有者可能要对客户或顾客承担责任。而对于网民来说，如果不运行终端命令或使用在线 PHP 检查工具，就很难看出一个网站运行的是哪个 PHP 版本。

鉴于一些网站已不再被积极管理——例如，我拥有一个网站，它曾长期处于休眠状态，多年没有进行过 PHP 更新或 WordPress 软件更新——PHP 事件表明，由于疏忽以及维护安全所需资源不断减少，网络老化的架构正被证明是不安全的。

PHP 安全人才短缺

过去一周这场让网站完成更新并确保安全的竞赛中，最令人震惊的发现之一是，一个负责确保 PHP 安全漏洞得到处理的组织自身也处境不稳。

路透社报道称，PHP Foundation 是一家成立于 2021 年的非营利组织，旨在与研究人员和网络安全公司合作，确保此类危机不会发生，但该组织只有一名全职员工，且缺乏扩大规模的资源。

该基金会执行董事 Elizabeth Barron 告诉路透社，她是唯一的工作人员，并与大约 14 名兼职承包商和无薪董事会成员合作。随着 AI 生成的威胁增加，修改 PHP 代码以应对这些威胁的需求已达到过去的两倍。“然而，贡献者人数并没有翻倍，”Barron 说。她表示，尽管公司和政府依赖 PHP，“但很明显，PHP 严重缺乏资金。”

PHP Foundation 的一名代表没有立即回复置评请求。

网站运营者可能并不知道存在问题

几乎所有小企业都有某种形式的网络存在，无论是社交媒体账号、Google 商家信息，还是自己拥有的网站。但 Network Solutions 的一项调查发现，小企业主可能没有处理 PHP 问题，因为他们不知道这会影响自己。

该报告基于对 121 名拥有自己网站的小企业主的调查，发现其中 45% 从未听说过 PHP，71% 不知道自己网站是否使用 PHP。其中绝大多数（71%）的网站所有者没有听说过最近的 PHP 漏洞。

Network Solutions Group 首席系统架构师 Rick Radinger 表示，调查显示了认知和知识上的差距，但除了不了解当前的 PHP 问题外，他们可能也不认为修复是自己的责任。“所有者可能知道警告，但可能以为他们的托管服务提供商会处理，”Radinger 说。“其他人可能需要额外帮助，但不确定该联系谁或下一步该怎么做。”

围绕 PHP 警报的部分动员行动包括 Cloudflare 等大型网络基础设施公司和 GoDaddy 等网络托管服务商发布的更新。Cloudflare 在一篇博客文章中表示，它部署了新的 Web 应用防火墙防护，以检测和抵御攻击。GoDaddy 对其托管主机和 Windows 主机服务进行了更新，这些更新不需要网站所有者采取额外步骤，但表示自行管理网站或运行虚拟专用服务器的域名客户可能需要自行更新 PHP。

除了安全更新外，Cloudflare 还在其 HackerOne 上的漏洞赏金计划中推出了 PHP 夺旗竞赛。“我们在（防火墙）后面放置了一个故意存在漏洞的 PHP 安装，并邀请 HackerOne 上的安全研究人员尝试绕过防护并夺取旗帜，”Cloudflare 在其博客文章中说。现金奖励从 100 美元到 10,000 美元不等。

网络用户的挫败感

对于那些不拥有网站的人来说，PHP 漏洞并不是通过更新密码就能防范的；网站需要保持更新以保护其访问者。

“对用户来说，令人沮丧的是他们无法解决这个问题，因为这是网站服务器的问题，而不是浏览器的问题，”Radinger 说。“仅仅更新浏览器并不能解决问题，而网站正常运行也不意味着网站已经修复。”

通常的建议比以往任何时候都更适用：点击不熟悉的网站链接时要小心，不要与不信任的网站分享敏感信息，尤其要警惕那些会向你的设备下载软件的链接。

PHP危机及时提醒了人们：万维网即将迈入第四个十年，它正面临怎样的处境。这场最新的安全风波只是网站面临的威胁之一（AI生成的入侵就是一大威胁）。但未来许多危险可能源于老化的数字架构；PHP只是网站使用的众多工具之一，其他还包括JavaScript、SQL数据库、内容管理系统（如WordPress或Wix），以及服务器本身运行的软件。如果这些工具在整个网络上得不到定期监控、管理和更新，可以预料未来几年会出现更多漏洞。

Omar Gallaga

Omar Gallaga曾为CNET、NPR、Wired、Texas Monthly、MSNBC、Consumer Reports、《华盛顿邮报》、《洛杉矶时报》、《大西洋月刊》和《奥斯汀美国政治家报》等媒体报道技术、数字文化及其他话题，并在《奥斯汀美国政治家报》长期担任技术记者、编辑和播客主持人。他现居得克萨斯州丘陵地区。

查看完整简介

Omar的最新作品

Meta 250亿美元诉讼败诉会改变其做法吗？（剧透：大概不会）

.articleAuthorBioFooter-container

AT&T正在支付其1.77亿美元数据泄露和解金。你可能很快会收到支票