CISA确认攻击者正利用两项PHP严重漏洞
US government says hackers are now exploiting critical PHP web bugs
CISA确认攻击者正在利用PHP软件中的两项严重漏洞，并要求美国联邦民事机构在3天内完成修复。这组漏洞被称为PHP2Shell，可让攻击者无需密码远程攻破易受攻击的系统，PHP据称用于约70%的面向互联网服务器。安全研究机构Calif此前借助AI模型找到了利用这两个长期未修补漏洞的方法，CISA尚未披露攻击者身份。
文章将AI辅助漏洞利用与现实攻击风险直接相连，并交代三天修复期限和PHP广泛部署的使用背景。
上午7:40 PDT · 2026年10月27日
美国网络安全机构 CISA 已确认，黑客目前正在积极利用广泛使用的 PHP Web 软件中的两个严重安全漏洞，并已命令美国政府内的联邦文职机构在三天内修复其系统。
要求紧急修补漏洞的最新警告是在已有数十年历史的 PHP Web 编程语言的开发者为这两个漏洞发布补丁后不到一周发出的。这些漏洞允许黑客无需密码即可通过互联网远程入侵存在漏洞的系统。据报道，约 70% 的面向互联网的服务器使用 PHP 软件，这使众多大型网站和应用程序面临风险。漏洞的严重程度促使一些政府和大型公司将其网站下线以完成修复。
尽管这些漏洞被评为严重级别，意味着它们一旦遭到利用可能造成极大损害，但安全研究人员表示，最初开发出能够入侵存在漏洞系统的有效利用代码颇具挑战——但并非不可能。如今已确认这些漏洞在现实攻击中遭到利用，这给各组织施加了更大压力，要求其修补系统，以防恶意入侵、服务中断和数据泄露。
CISA 没有说明是谁在利用这些漏洞，其周一发布的声明中同样没有提供相关细节，但该声明是在安全研究人员称他们发现了证据，表明这些 PHP 漏洞正遭到利用后不久发布的。
这些被称为 PHP2Shell 的漏洞利用了该软件中多年未被发现的安全漏洞。这些漏洞最初于两年前被发现，但维护该软件的非营利基金会称，黑客没有切实可行的方式利用这些漏洞，因此这些漏洞一直未得到修补。直到今年早些时候，安全研究公司 Calif 的研究人员在 AI 模型的协助下发现了利用这两个潜伏漏洞的方法。
PHP 中的这两个漏洞，是无数尚未被发现或多年来被降低处理优先级的漏洞中的两个。但随着 AI 模型在发现和利用漏洞方面能力提升，包括能够将多个缺陷串联利用，这些漏洞如今也带来了风险。
PHP 是众多仍支撑互联网和现代技术运行的陈旧 Web 技术之一，但这些技术多年来一直资源不足、资金匮乏，这使得 PHP 这样的开源项目难以负担安全审查费用，而这些审查本可以更早发现漏洞。
主题
通过本文中的链接购买时，我们可能会获得少量佣金。这不会影响我们的编辑独立性。
Zack Whittaker 是 TechCrunch 的安全编辑。他还撰写每周网络安全通讯，《本周安全》。
他可通过 Signal 上的 zackwhittaker.1337 接收加密消息。你也可以通过电子邮件联系他，或通过 [email protected] 验证外联身份。
来源：TechCrunch · techcrunch.com