美国网络安全和基础设施安全局（CISA）确认，黑客正在实际利用PHP的两处严重安全漏洞，并已下令美国文职联邦机构在三天内完成修复。这道紧急补丁令下发的时间，距离PHP官方为这两个漏洞发布补丁还不到一周。

打开网易新闻 查看精彩图片

漏洞的危险之处在于攻击门槛：黑客可以经由互联网远程闯入存在漏洞的系统，全程不需要密码。据称PHP被约70%的面向公网的服务器使用，这意味着大量网站和应用都处在风险敞口之内。漏洞的严重程度已经促使一些政府机构和大公司把自家网站下线，以便腾出手来修复。

两个漏洞被评级为严重，一旦被利用可能造成高度破坏。安全研究人员此前表示，要做出一个能真正打穿系统的利用程序，起初相当困难，但并非不可能。如今野外利用得到确认，组织面临的压力随之升级——不打补丁，就可能遭遇恶意入侵、服务中断和数据泄露。

CISA在周一的声明中没有说明利用这些漏洞的究竟是谁。这份声明发出前不久，安全研究人员刚表示找到了PHP漏洞正被利用的证据。

这两个漏洞被命名为PHP2Shell，利用的是软件中多年未被发现的问题。它们最初在两年前就被发现，但维护该软件的非营利基金会当时判断，黑客没有可行的利用路径，于是漏洞一直未修补。局面在今年早些时候发生变化：安全研究公司Calif的研究人员借助一个AI模型，找到了利用这两个休眠漏洞的方法。

PHP的这两个漏洞只是无数尚未被发现、或多年被降级处理的漏洞中的一例。AI模型在发现和利用漏洞方面的能力正在进步，包括把多个缺陷串联起来使用，这让一批旧问题重新变成现实风险。

PHP是支撑互联网和现代技术运转的众多老旧网络技术之一，多年来资源与资金投入不足。对这类开源项目而言，掏钱做本可以更早发现缺陷的安全审查，本身就是一件难事。