PHP漏洞曝光后攻击激增至数百万起，全球约70%网站受影响

PHP安全漏洞曝光后 黑客攻击激增

　　　　袁原

广泛用于网站开发的PHP脚本语言日前被曝存在严重安全漏洞。各国政府和企业加紧下载补丁、暂停网站服务，与此同时，利用该漏洞发起的黑客攻击激增至数百万起。

美国云服务商克劳德法尔公司首席执行官马修·普林斯21日晚在社交平台X发帖说，PHP存在安全漏洞的消息公开前10小时，全网发现数千起利用该漏洞发起的黑客攻击；消息发布后45分钟内，这类攻击增至数万起。按他的说法，“两小时内增至数十万起，现在有数百万起。”

这件事波及面不小。美联社的报道提到，全球约70%的网站都在用存在漏洞的PHP脚本语言。金融、航空、铁路、税务以及政府服务等多个国家的机构为稳妥起见，都把自家网站暂时撤了下来。到22日，不少政府站点已经重新上线；可安全升级还没做完，部分网站时不时出现中断或功能受限。

微软首席执行官萨蒂亚·纳德拉22日在德国一场活动上表示，这样的情况他很久没碰上了。他说：“对所有信息技术和（网络）安全从业者来说，这是漫长的一天一夜。”在他看来，这件事说明，网络系统越来越复杂，软件能被安全地维护就显得格外重要。

比利时网络安全公司Aikido Security的创始人之一马德琳·劳伦斯指出，PHP漏洞的细节在补丁就绪之前就流了出去，利用这个漏洞的黑客攻击随后出现。她提到，各家公司都在抢时间加固，想赶在黑客用人工智能(AI)发起攻击之前完成，“这是这场竞赛的核心所在”。

路透社报道称，美国卡利夫网络安全公司和隶属“字母表”公司的维兹公司此前各自发过报告，称AI模型被用来找出了PHP漏洞。这回的安全问题牵涉两个漏洞，攻击者可以触发内存耗尽，导致内存损坏，并在特定条件下远程执行代码。21日，PHP开发团队紧急发布安全更新，漏洞已得到修复。

英国皇家三军研究所网络技术部门负责人詹姆斯·沙利文认为：“这既是坏消息也是好消息。”一边是黑客能靠AI挖出新漏洞并发动攻击，另一边AI也能拿来发现和修补漏洞。

欧洲网络安全服务商誓联信息技术公司安全研究部门负责人沙尔·范德瓦尔特表示，眼下暴露出来的问题只能算“早期震颤”，PHP漏洞事件带来的后果会在今后数周到数月内逐步显现。

PHP是一种广泛使用的服务器端脚本语言，在服务器上运行，用于生成网页内容、与数据库交互，也被大量集成到其他产品中。

范德瓦尔特说，需要下载补丁补漏洞的不只是程序开发人员，所有用到PHP的场景都得升级修护。他估计，接下来几周会集中开展针对PHP漏洞的防护，而要把遗留问题彻底清理掉，或许得花上数月乃至数年。