事件概述

PHP 基金会承认，因决策迟疑与资源不足，2024 年首次发现的关键安全漏洞修复工作多次停滞并重启，定性为“结构性失误”。

漏洞风险

PHP 已发布两项相关关键漏洞的紧急补丁。未经身份验证的攻击者可利用漏洞，在无需登录情况下于受影响服务器执行代码。

影响范围

  • 荷兰、芬兰、法国、德国及澳大利亚等地部分政府网站或在线服务一度下线，以准备安装补丁

  • 安全公司 Calif 与 OpenAI 于 8 月 11 日分别报告同一底层问题，Calif 演示了无条件远程代码执行

  • SlowMist 评估 1488 个域名，发现 793 个存在直接 PHP 指纹


行业反应

Intersect 已暂时关闭 Members Area；Coinbase 表示未发现受影响实例；BitGo 称平台未受影响。币安联合创始人 Changpeng Zhao 提醒用户近期访问网站时提高警惕。OpenAI 已发布用于检查易受攻击 PHP 版本的 Codex 技能。