PHP 今晚发紧急安全补丁

PHP 官方宣布北京时间今晚 22:00（UTC 14:00）发布紧急安全更新，修复两个 CVSS 9.2 的严重漏洞。用 PHP 的赶紧准备，官方说如果漏洞细节提前泄露或发现被利用会提前发版。
来源：https://news-web.php.net/php.announce/509

安全研究员 Elias Taylor 泼了盆冷水：GitHub 上几千个 "PoC" 在原生 PHP 上根本跑不通，大多要靠本地文件包含（LFI）这种 "服务器本身已有严重漏洞" 的不靠谱前提；漏洞公开 10 多个小时了，还没出现真正能用的 exploit，LLM 生成的 exploit 大多是幻觉。结论：补丁照打，但这不是 Log4Shell 那种世界末日级别。
来源：https://eliastaylor.com/noexploit/

补个背景：这次 PHP 紧急补丁的两个漏洞（php2shell）是 Calif 和 Wiz 的研究人员用先进 AI 工具挖出来的，潜伏了十多年，Wiz 称这是 AI 发现过的最严重漏洞。漏洞本身不新，新的是 AI 让人类第一次有能力找到它们；公开前 10 小时 Cloudflare 已看到数千次利用尝试。
来源：https://www.bbc.co.uk/news/articles/c3qjnwye0ep5o

后续：Ars 披露，黑客在 PHP 官方公开漏洞前 4 天就已经在全网探测这个漏洞了，防守方拿到情报时人家已经扫了四天。补丁出了也得赶紧打。
来源：https://arstechnica.com/security ... hell-vulnerability/