PHP 基金会承认，决策问题和资源有限导致一项针对 2024 年首次发现漏洞的 PHP 安全修复延迟。周三，针对两项相关严重漏洞的紧急补丁发布后，政府机构及其他组织出于预防目的将网站下线。
要点
- 基金会称，响应延迟是安全流程和资源方面的结构性失灵。
- 这些漏洞可能使未经身份验证的攻击者在受影响的服务器上执行代码。
- 加密货币行业机构审查了自身受到影响的可能性，而 Coinbase 和 BitGo 表示其系统未受影响。
目录
兼容性和人员配置问题导致 PHP 安全修复受阻
基金会的说明将焦点放在一个问题上：已知的技术隐患为何数月未能解决。开发者在 2024 年发现了该漏洞的迹象，但一直难以找到既能修复问题、又不会扰乱庞大 PHP 软件生态系统的方案。PHP 是一种广泛用于网站和 Web 应用程序的语言。
当时，开发者尚未找到实现远程代码执行的途径。基金会表示，掌握 PHP 引擎相关知识的团队规模很小，且成员还承担着其他职责，导致修复工作一再停摆、重启。
基金会称，这一延误是由安全团队的决策流程和资源不足共同造成的“结构性失灵”。
8 月 11 日，安全公司 Calif 和 OpenAI 独立报告了同一根本问题，该问题随即被列为最高安全优先级。Calif 展示了无需任何条件即可实现的远程代码执行。
公共服务纷纷采取预防性关闭措施
紧急版本发布后，多个国家的服务运营方在准备更新期间断开了服务，造成广泛中断。荷兰关闭了其数字身份服务，荷兰国家网络安全中心也将自己的网站下线。
芬兰国家 IT 服务提供商 Valtori 断开了政府公共网站服务；法国内政部则暂时将各省政府网站下线。德国联邦 IT 服务提供商 ITZBund 也停用了多个网站。
澳大利亚信号局表示，PHP 问题影响的政府网站包括 cyber.gov.au。日本首相高市早苗敦促运营方做好快速安装补丁的准备，并表示，如果无法立即更新，暂时暂停网站功能有助于降低风险。
维基媒体基金会也将 Toolforge 和 Cloud VPS 等支持服务下线，导致周三维基百科的部分功能受到影响。
加密货币企业评估潜在影响
区块链安全公司 SlowMist 表示，其 MistEye 服务在评估的 1,488 个加密货币行业域名中，发现 793 个存在直接的 PHP 特征。该公司敦促交易所、DeFi 平台和钱包提供商审查自身受到影响的可能性并进行升级。调查结果表明这些域名使用了 PHP，并不意味着已确认它们存在漏洞。
支持 Cardano 开发和治理的会员组织 Intersect 在评估潜在影响期间，暂时关闭了其会员专区。
Coinbase 首席安全官 Jeff Lunglhofer 表示，公司未发现 PHP 实例暴露的证据，同时也在向第三方供应商核实。BitGo 则另行表示，其平台未受影响。
漏洞利用情况与已证实的风险并非一回事
尽管远程代码执行风险已得到演示，PHP 安全团队表示，在公开披露时尚未发现任何可用的漏洞利用程序。
OpenAI 通过 GitHub 发布了一项 Codex 技能，帮助运营方检查可能存在漏洞的 PHP 版本，并确定适用的更新。
结论
紧急补丁解决了当前漏洞，但基金会的坦承也凸显了延误修复流程方面的失误。据报告采取的下线措施是预防性举措，并不表明相关组织已遭到入侵。
阅读更多新闻
免责声明
本文由 FinanceVelix 发布，仅提供一般信息，并非针对个人的财务、投资、法律或税务建议。市场价格、利率和经济状况可能发生变化；投资存在亏损风险。文中事实反映发布时可获得的资料，之后可能发生变化。请独立核实重要信息，并在需要时咨询合格的专业人士。提及任何资产、公司或服务均不构成背书。
