PHP两项远程代码执行漏洞信息外泄！安全机构警告补丁发布后或遭大规模利用

PHP安全团队将于协调世界时14时发布两项严重漏洞的修复更新。相关技术信息疑似在原定披露时间前外泄，Cloudflare已发现早期攻击迹象，安全机构警告补丁公开后可能迅速出现大规模利用。

目前流传的信息对漏洞严重度存在不同说法：最初公布的CVE评分为9.2分，WatchTowr首席执行官Benjamin Harris则称，两项远程代码执行漏洞的CVSS评分均为10，并可能影响PHP 5、6、7和8。正式细节尚未完全披露，具体评分与影响范围仍应以后续安全公告为准。

网上已经出现据称展示“PHP2Shell”工具在网站服务器上远程执行代码的视频。网络安全公司Sansec表示，运行PHP 5.4或更高版本的Web服务器均可能受到影响，并预计修复发布后15分钟内就可能出现大规模攻击。

Cloudflare技术负责人Dane Knecht表示，公司正根据新出现的攻击路径更新PHP站点防火墙规则，但这类措施只能临时缓解风险。网站管理员应清点所有PHP安装，安排与更新发布时间一致的维护窗口，提前备份网站及数据库文件，并在补丁发布后尽快完成安装。