PHP两个9.2分漏洞 紧急补丁提前发
报价宝综合消息PHP两个9.2分漏洞 紧急补丁提前发
PHP核心开发团队发布紧急通告：两个评分高达CVSS v4.0 9.2的关键漏洞的修复补丁，将于10月21日14时（UTC）发布。这两个漏洞都在PHP核心引擎中，可被用于远程代码执行。官方敦促所有PHP用户提前做好准备，更新一上线立即升级。
这次发布的节奏被打了乱：原计划是周四例行发布，但10月20日，保密期内的漏洞细节意外提前外泄，安全公司watchTowr确认泄露信息涉及的是真实的零日远程代码执行漏洞，PHP团队于是决定把补丁提前一天，防止攻击者抢跑。
好消息是目前尚未观察到在野利用，坏消息是补丁发布前没有任何临时绕过方案。官方保留更早放出的权利——一旦出现被活跃利用的证据，补丁会立刻上线。完整的漏洞细节、受影响版本和修复版本将随发布一同公布。
PHP驱动着互联网的半壁江山，WordPress、Drupal等主流内容管理系统都构建在其上，核心引擎的无认证远程代码执行一旦被武器化，风险面以百万站点计。运维侧的建议是：关闭非必要模块、收紧输入校验、盯紧异常日志。
另一个死角是老版本：PHP 5和PHP 7早已停止官方维护，不会获得本次修复，跑在这些版本上的系统只能尽快迁移到受支持的PHP 8分支，否则补丁也救不了它们。
编译自 BleepingComputer，原标题："PHP warns admins of two critical flaws, emergency patches coming tomorrow"
