摘要：面对PHP高危漏洞预警，朋友圈一片哀嚎。然而比起漏洞本身，更残酷的现实是大量缺乏维护预算的政企老系统与外包项目，早已沦为没人敢动、全靠撞运气的数字烂尾楼。
网友动态：
完蛋了，全球56%的互联网要被打穿了
刚看运维和后端群里都在疯传PHP2Shell的消息，PHP官方直接发了最高级别的严重漏洞预警，提醒所有PHP用户赶紧升级
去官网公告核实了一下，这次一口气修了两个CVSS v4.0评分高达9.2的严重漏洞，编号分别是CVE-2026-109618和CVE-2026-109619，根据CERT-EU和官方披露的细节，这两个漏洞都可能导致未授权的远程代码执行（RCE），潜在影响范围一路覆盖到PHP 5及以后的版本
公告里写得很吓人，所有对外提供Web请求的PHP环境都在风险范围内，包括常见的PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed，其中用mod_php跑的风险最高，攻击者甚至能在你的业务代码还没开始执行之前就直接触发利用
目前官方已经紧急放出了8.5.12、8.4.27、8.3.36和8.2.35四个修复版本，但最让国内运维头疼的其实是那些跑了好多年的老系统，因为PHP官方目前只维护8.2到8.5四个稳定分支，8.1及以下的老版本早就结束官方支持了
要知道现在全球依然有大半的传统网站和CMS系统跑在PHP上，很多政企内网、老商城或者外包交接过几手的祖传项目，根本没人敢随便大版本升级
手头还有PHP业务在跑的朋友，建议现在就去查一下线上机器的运行版本和更新源，能升补丁的今晚抓紧升，对于那些实在升不动的老系统，官方给的临时缓解方案是先把php.ini里的session.upload_progress.enabled设成0再重启服务，或者干脆先从公网入口隔离掉
PS：以前大家总调侃PHP是世界上最好的语言，今晚估计全球一半的运维和安服兄弟都得为了这句话通宵值班了
我的吐槽：
把十年前外包公司花两万块砌出来的祖传代码喊成“打穿全球56%互联网”，属于典型用好莱坞大片剧本掩盖数字烂尾楼的棚户区灾难。
1、56%的市场份额只是长尾垃圾站的尸检报告
槽点：动辄搬出几成互联网都在用PHP来制造群体恐慌，假装自己正在守护什么核心数字基础设施。
真相：根据W3Techs等统计，PHP支撑的站点绝大多数是年久失修的WordPress个人博客、早已停业的县城外贸站和地方企业小官网，这些站点单台主机月租甚至不到30元，日均访客个位数，被黑客用来挂博彩暗链都嫌抓取权重太低。
2、通宵打补丁的悲壮掩盖不了IT预算归零的窘境
槽点：把安全运维渲染成今晚必须全员通宵拯救世界的英雄主义，试图以此冲淡技术债爆仓的尴尬。
真相：真正卡住老系统升级的从来不是技术难度，而是降本增效下安全预算的彻底清零；大部分外包交接项目连源代码和部署文档都没留存，企业宁愿每年花三五千块买个静态防火墙过保，也绝不可能出资几十万去重构系统。
总结成一句话：真正让运维通宵的不是黑客的远程代码，而是当年为了省钱留在服务器里没人敢动又没人给预算重构的数字屎山。
7 条评论