PHP「php2shell」高危漏洞，多国紧急下线官网

近日，PHP 官方近日紧急确认了两个高危漏洞，安全研究社区将其统称为 “PHP2Shell”，CVSS4.0 评分均为 9.2。由此一场起源于底层编程语言的突发安全风暴，正迅速席卷全球互联网。

为什么这次漏洞的覆盖面如此之大？

PHP 是 Web 后端最广泛使用的脚本语言之一，“PHP 是世界上最好的语言” 常常被程序员拿来调侃。但玩笑归玩笑，PHP 的确支撑着全球大量 Web 服务，WordPress、Discuz、Drupal、Laravel 等博客、社区、CMS 系统都是构建在 PHP 生态之中。这次漏洞触及的不是某个垂直领域，而是互联网基础设施中一层沉默但面积巨大的地基。

一旦漏洞被黑客利用，攻击者可以直接拿到服务器最高权限：上传木马后门、窃取网站数据库里用户信息、篡改网页内容，也可以直接删除文件、关停业务，造成网站瘫痪。哪怕网站本身代码没有漏洞，只要底层 PHP 版本没有修复，风险就持续存在。

漏洞公布后，PHP 官方发布的修复版本是 8.5.12、8.4.27、8.3.36 和 8.2.35。但问题在于，PHP 8.1 及更早版本已经进入生命周期终点（EOL），PHP 项目本身不再为这些分支提供常规安全更新。根据安全研究机构在漏洞披露当日的统计，约 48.5% 的 PHP 站点运行在 8.1 或更早的分支上——也就是说，接近一半的 PHP 站点所在的分支，官方已经不再发布补丁。

补救措施：更新是唯一的完整方案，其余都是降低暴露面的权宜之计

优先直接升级路径是 PHP 版本：
- 8.5.12
- 8.4.27
- 8.3.36
- 8.2.35

升级完成后还必须重启PHP服务进程，新补丁才会生效。对于早已停止维护的老旧版本如 8.1 以及更早的版本，官方也配套提供了源码补丁方案。

对于依赖 WordPress、Drupal 等站点，需要特别注意一个容易被忽略的点：CMS 自身的自动更新不会覆盖 PHP 运行时。WordPress 可以自动更新核心、插件和主题，但它不会替你升级服务器上的 PHP 版本。确认“谁负责更新 PHP”这件事，在这次事件中比以往任何时候都更具体、更紧迫。

这次漏洞最终会被补上，但它留下的问题不会随之消失：当互联网近半数的 PHP 站点运行在官方已经放弃维护的分支上时，下一次引擎级漏洞到来时，可修补的比例不会自动变得更高。对于运行 PHP 的组织而言，这次事件真正的教训或许不在于“这次有没有及时打上补丁”，而在于把 PHP 版本的生命周期管理，从“出了问题再处理”变成一项有明确责任人和时间表的常规运维事项。