昨天都在说 PHP 漏洞搞得人心惶惶，我大致看了并且理解了一下。
PHP 是一种非常常见的网站后台编程语言，很多网站都在用，包括 WordPress、Magento 等。
这次曝出的两个严重漏洞，CVSS 评分均为 9.2 分。简单来说，攻击者在特定条件下，甚至不需要登录，就能远程执行代码，直接攻击网站服务器，严重时可以窃取数据库、账号凭证，甚至控制整个服务器。
━━━━━━━━━━━━
昨天有一个离谱的事是，这两个漏洞原本计划在 10 月 22 日统一披露，给开发团队留出时间修复。
结果 10 月 20 日，有个老六在 Hacker News 提前爆料了漏洞消息。
紧接着又出了个乌龙：
参与漏洞研究的安全团队 Calif，提前放出了 PoC 攻击演示视频，虽然很快被删除，但视频已经开始在网上传播。（视频在下面）
原本还在协调修复的漏洞，攻击演示先被公开了。PHP 官方只能把补丁提前到 10 月 21 日发布。
而且，安全团队已经报告了实际的漏洞利用尝试，一些政府机构和网站甚至选择临时下线，优先排查和修复。
━━━━━━━━━━━━
这件事对我们有什么影响？
你经常使用的网站，如果后台存在漏洞又没有及时修复，一旦被攻破，网页就可能被篡改、植入钓鱼内容，甚至成为盗取账号凭证的入口。
尤其是 Crypto 用户，最近几天访问交易所、钱包、空投网站，尽量通过官方渠道进入，不要乱点陌生链接，也不要随意签名！！据说最近两天会非常猖獗。
这个漏洞已经存在多年，但 AI 辅助研究降低了发现和构造利用方法的门槛。
漏洞一旦泄露，攻击者就可能迅速跟进，而全球大量网站完成修复需要时间。
等于说漏洞修复的速度，正在跟攻击技术传播的速度赛跑。
PHP 是一种非常常见的网站后台编程语言，很多网站都在用，包括 WordPress、Magento 等。
这次曝出的两个严重漏洞，CVSS 评分均为 9.2 分。简单来说，攻击者在特定条件下，甚至不需要登录，就能远程执行代码，直接攻击网站服务器，严重时可以窃取数据库、账号凭证，甚至控制整个服务器。
━━━━━━━━━━━━
昨天有一个离谱的事是，这两个漏洞原本计划在 10 月 22 日统一披露，给开发团队留出时间修复。
结果 10 月 20 日，有个老六在 Hacker News 提前爆料了漏洞消息。
紧接着又出了个乌龙：
参与漏洞研究的安全团队 Calif，提前放出了 PoC 攻击演示视频，虽然很快被删除，但视频已经开始在网上传播。（视频在下面）
原本还在协调修复的漏洞，攻击演示先被公开了。PHP 官方只能把补丁提前到 10 月 21 日发布。
而且，安全团队已经报告了实际的漏洞利用尝试，一些政府机构和网站甚至选择临时下线，优先排查和修复。
━━━━━━━━━━━━
这件事对我们有什么影响？
你经常使用的网站，如果后台存在漏洞又没有及时修复，一旦被攻破，网页就可能被篡改、植入钓鱼内容，甚至成为盗取账号凭证的入口。
尤其是 Crypto 用户，最近几天访问交易所、钱包、空投网站，尽量通过官方渠道进入，不要乱点陌生链接，也不要随意签名！！据说最近两天会非常猖獗。
这个漏洞已经存在多年，但 AI 辅助研究降低了发现和构造利用方法的门槛。
漏洞一旦泄露，攻击者就可能迅速跟进，而全球大量网站完成修复需要时间。
等于说漏洞修复的速度，正在跟攻击技术传播的速度赛跑。