10 月 21 日，全球约七成网站依赖的编程语言 PHP 被曝出两个 CVSS 评分 9.2 的远程代码执行漏洞。各国政府网站下线、医院和学校紧急维护、Cloudflare 在两小时内观测到数十万次攻击尝试。而在补丁得以被数百万台服务器安装之前，一个住在捷克的志愿者，做了最关键的那一步。
PHP 是支撑互联网许多部分运行的编程语言。最近几天，重大漏洞和安全问题接连浮出水面。PHP 漏洞，研究人员把它称作 PHP2Shell。Wiz、Calif 和 OpenAI 的研究人员借助 AI 发现了这些漏洞。
PHP 项目被迫把发布时间从原定的周四提前到周三，留给全球系统管理员的时间窗口被压缩了整整一天。
PHP Foundation 后来承认，其中一个漏洞的修复工作早在 2024 年的一次外部安全审计中就已发现线索，但由于资源不足、决策流程低效、能够深入理解 PHP 引擎内部机制的人太少，修复被拖延了近两年。基金会自己在事后声明中将此称为“结构性失败”。
这个“结构性失败”并没有因为这次危机而被解决。在 Reddit 和 X 上，恐慌之中有一个名字被反复提起：Ondřej Surý，他不住在硅谷，也不在 PHP Foundation 领取薪水。他的正式工作是 Internet Systems Consortium 的 DNS 工程总监。维护 PHP 软件包是他的志愿工作。
#PHP #网安
PHP 是支撑互联网许多部分运行的编程语言。最近几天，重大漏洞和安全问题接连浮出水面。PHP 漏洞，研究人员把它称作 PHP2Shell。Wiz、Calif 和 OpenAI 的研究人员借助 AI 发现了这些漏洞。
PHP 项目被迫把发布时间从原定的周四提前到周三，留给全球系统管理员的时间窗口被压缩了整整一天。
PHP Foundation 后来承认，其中一个漏洞的修复工作早在 2024 年的一次外部安全审计中就已发现线索，但由于资源不足、决策流程低效、能够深入理解 PHP 引擎内部机制的人太少，修复被拖延了近两年。基金会自己在事后声明中将此称为“结构性失败”。
这个“结构性失败”并没有因为这次危机而被解决。在 Reddit 和 X 上，恐慌之中有一个名字被反复提起：Ondřej Surý，他不住在硅谷，也不在 PHP Foundation 领取薪水。他的正式工作是 Internet Systems Consortium 的 DNS 工程总监。维护 PHP 软件包是他的志愿工作。
#PHP #网安
10 月 21 日，全球约七成网站依赖的编程语言 PHP 被曝出两个 CVSS 评分 9.2 的远程代码执行漏洞。各国政府网站下线、医院和学校紧急维护、Cloudflare 在两小时内观测到数十万次攻击尝试。而在补丁得以被数百万台服务器安装之前，一个住在捷克的志愿者，做了最关键的那一步。PHP 是支撑互联网许多部分运行的编程语言。最近几天，重大漏洞和安全问题接连浮出水面。PHP 漏洞，研究人员把它称作 PHP2Shell。Wiz、Calif 和 OpenAI 的研究人员借助 AI 发现了这些漏洞。PHP 项目被迫把发布时间从原定的周四提前到周三，留给全球系统管理员的时间窗口被压缩了整整一天。PHP Foundation 后来承认，其中一个漏洞的修复工作早在 2024 年的一次外部安全审计中就已发现线索，但由于资源不足、决策流程低效、能够深入理解 PHP 引擎内部机制的人太少，修复被拖延了近两年。基金会自己在事后声明中将此称为“结构性失败”。这个“结构性失败”并没有因为这次危机而被解决。在 Reddit 和 X 上，恐慌之中有一个名字被反复提起：Ondřej Surý，他不住在硅谷，也不在 PHP Foundation 领取薪水。他的正式工作是 Internet Systems Consortium 的 DNS 工程总监。维护 PHP 软件包是他的志愿工作。#PHP #网安
