儘管如此 歸屬於歐洲、亞洲以及其他大陸的當局們已經暫時將部分政府網站關閉以防範新發現的攻擊
Save Share Authorities in Europe, Asia and other continents have temporarily taken some government websites offline to protect against newly discovered security vulnerabilities in a programming language used to power the vast majority of sites on the internet. On Wednesday, vulnerabilities in the PHP programming language prompted a rare public warning from the United States National Security Agency (NSA), which advis
…
以下為原文節錄，僅供導讀。完整報導與著作權均屬原媒體與原作者所有，請點擊下方連結前往原始出處閱讀。
前往原文 / Original Source →
【業州愚公解讀】
過去二十幾年，PHP 是「互聯網的舊地基」——大量網站、論壇、政府後台都建在它上面。這次被命名為 PHP2Shell 的兩個漏洞震動各國，不是因為它新，而是因為它老：缺陷埋了二十幾年，一直沒人能證明真的可被利用。
關鍵變數是 AI。安全公司 Calif 與 OpenAI 合作在八月十一日通報第一個漏洞，Alphabet 旗下的 Wiz 八月二十四日通報第二個。Wiz 說，要證明可利用性需要一串「接近人類研究者極限」的步驟——不是沒人看，是成本太高。AI 把「試一萬條攻擊路徑」變成可負擔的動作，同一塊舊地基突然同時被攻守雙方看穿：不是 PHP 變差了，是找漏洞的經濟學變了。
常見誤解有兩個。一是「PHP 不安全」：基金會自己講得很清楚，問題在記憶體存取沒有正確授權，這是所有記憶體不安全語言的結構性缺陷，C 與 C++ 一樣跑不掉。二是「站小沒人盯」：這類漏洞不需密碼、不需帳號，只要跑著未修補的舊程式碼就能遠端執行指令——掃描器不挑目標大小，只挑有沒有回應。
對華語讀者最實際的是：大量中小企業官網、個人部落格、開源論壇都跑在 PHP 上，卻通常沒有專職維運。NSA 的建議很直白：能更新就立刻更新，不能就先下線。這一週該擔心的不是「會不會被打」，而是「有沒有人知道自己在跑哪個版本」——版本不清，補丁無從談起。
接著看三件事：補丁覆蓋率、有沒有公開的攻擊工具（那會讓門檻從國家級掉到腳本級），以及基金會那句警告——工具找 bug 的速度，攻守一樣快。往後每次大型漏洞都更像公共衛生事件：比誰補得快，不是比誰的牆高。
撰文：業州愚公