PHP基金会承认漏洞修复中的结构性缺陷

PHP基金会承认存在“结构性失败”：由于犹豫不决和资源不足，首次在2024年发现的关键漏洞修复被推迟。两个相关的关键漏洞允许未经身份验证的攻击者在受影响的服务器上执行代码——紧急补丁已于周三发布。

基金会的博客中指出：“我们不会假装这是其他原因：延迟是由安全团队的决策过程和资源不足造成的结构性失败。”开发人员无法在不干扰庞大的PHP软件生态系统的情况下快速提出解决方案；拥有深厚引擎知识的小团队人手不足，并且没有已知的远程代码执行路径。

基金会在8月11日再次收到漏洞警报：Calif和OpenAI独立报告了同一问题，Calif展示了无条件的远程代码执行。这使得该问题成为优先事项。

周三，全球政府网站和服务在安装补丁期间下线。荷兰关闭了其数字识别服务和国家网络安全中心的网站，芬兰的Valtori下线了公共政府网站服务，法国的内政部关闭了省政府网站，德国的ITZBund关闭了多个网站，据路透社报道。澳大利亚信号局（ASD）确认其cyber gov au网站受到影响。日本首相高市早苗敦促运营商尽快安装补丁，并指出临时禁用功能可以降低风险。

维基媒体基金会暂时禁用了Toolforge和Cloud VPS——志愿者工具和项目的托管，导致周三维基百科部分不可用。Cardano组织Intersect在评估风险时禁用了会员区。

区块链安全公司SlowMist检查了1,488个域名，发现793个具有直接的PHP痕迹；它敦促交易所、DeFi平台和钱包提供商检查其暴露情况并进行更新。

Coinbase的首席安全官Jeff Lunglhofer表示，公司中未发现易受攻击的PHP实例，并补充说，在收到此类报告后，公司会进行全面检查并与第三方供应商合作。BitGo也报告称平台未受影响。Binance联合创始人赵长鹏敦促在未来几天访问网站时要“格外小心”。OpenAI在GitHub上发布了一款工具Codex，以帮助运营商检查易受攻击的PHP版本。

PHP安全团队报告称，在公开披露时未发现任何功能性漏洞。