CISA确认PHP高危漏洞已被黑客利用
报价宝综合消息CISA确认PHP高危漏洞已被黑客利用
美国网络安全和基础设施安全局（CISA）周一确认，广泛使用的PHP网页软件中的两个高危漏洞已遭黑客在野利用，并命令美国联邦民事机构在三天内完成修复。
这一紧急补丁警告，距离PHP官方发布修复补丁还不到一周。这两个漏洞可让黑客无需密码、直接通过互联网远程攻破存在漏洞的系统。PHP据称支撑着全球约七成对外的网页服务器，大型网站和应用都面临风险——漏洞严重性之高，以至于一些政府和大公司为修复漏洞一度把网站直接下线。
这对漏洞被称为PHP2Shell，藏在软件深处多年未被发现。安全研究人员两年前就曾披露，但维护PHP的非营利基金会当时认为黑客没有实际可行的利用手段，漏洞因此一直未打补丁。转折出现在今年早些时候：安全研究公司Calif的研究人员借助AI模型的帮助，找到了激活这两个休眠漏洞的方法。
CISA没有披露利用者的身份，但其声明紧跟在安全研究人员报告发现利用痕迹之后。此前研究人员认为，开发可用的攻击代码难度不小，但在野利用被证实后，各机构的修复压力骤增。
这起事件也是AI改变漏洞攻防的一个缩影：大量长期被搁置的陈年漏洞，正随着AI模型发现并串联利用漏洞能力的提升而重新变成现实威胁。而PHP这类支撑互联网运转多年的老牌开源项目，长期资金匮乏、付不起更早发现问题所需的安全审计，进一步放大了风险。
编译自 TechCrunch，原标题："US government says hackers are now exploiting critical PHP web bugs"
