PHP修复两个可致未授权代码执行的关键漏洞

公开安全公告发布时，已经不再是第零天了。到那个时候，你的补丁窗口可能已经在关闭。

PHP Foundation 发布了紧急修复，针对两个可导致未认证代码执行的关键漏洞；而 AWS 在其遥测数据中，于公开披露前四天就发现了利用尝试。AI 帮助防御者发现并验证了这些漏洞；AWS 表示，AI 辅助分析也让把技术细节转化为可用 exploit 的成本更低。如今的安全优势属于那些能在公告变成拥挤的发令枪之前，找到每一个暴露的依赖项、打好补丁并验证在线工作负载的组织。

这两个 PHP2Shell 漏洞位于内存管理和错误处理中——几乎每个请求都会触及的代码路径。在特定条件下，其中一个会留下部分初始化的数据，随后被当作有效数据对待；另一个则让后续请求访问到已被先前请求释放的内存。PHP 在 8.5.12、8.4.27、8.3.36 和 8.2.35 版本中修复了它们。

发现过程展示了新安全曲线的两面。PHP Foundation 表示，来自 Calif、OpenAI 和 Wiz 的报告揭示了完整影响，而 AI 工具帮助其安全团队扫描代码、验证报告并复现 exploit。防御者获得了杠杆，但任何能够检查泄露细节、补丁 diff 或 proof of concept 的人也同样获得了杠杆。

维护方面的故事不那么光鲜，却更重要。PHP Foundation 表示，内存耗尽问题的迹象在一次外部审计后的工作中浮现，但修复因兼容性权衡、基于共识的决策以及具备必要引擎知识的核心开发者太少而停滞。AI 可以让发现变得丰富；它无法制造维护者产能、部署归属权，或在紧急情况下打破兼容性的许可。

AWS 的遥测压缩了舒适的时间线。它在公开披露前四天记录到一次利用尝试，在禁令解除前发现了多个 proof-of-concept exploit，并在补丁出现后几乎立即看到了更多尝试。AWS 很谨慎：它不知道那些早期尝试在真实系统上是否会成功。

这一区别很重要。CISA 表示在发布时尚未观察到成功利用，而 CrowdStrike 发现可靠的远程执行必须针对 PHP 版本、应用、服务器接口、库和打包方式进行调优。这不是一把通用的万能钥匙。这是一场竞赛，攻击者有可信的活动，防御者有补丁，而运营者无法安全地等到确认入侵后再行动。

其机制是响应延迟倒置。发现和 exploit 开发正变得越来越便宜，但组织响应仍需经过清单、工单、负责人、维护窗口、容器重建、进程重启和验证。当技术时钟压缩时，这些交接环节就成了攻击面。

在未来 30 天内，对一个面向互联网的运行时进行一次紧急补丁演练。测量定位每个直接和嵌入实例、指派负责人、减少暴露、部署修复构建、重启或重新部署实际服务流量的进程、验证运行版本，并从最早可信的利用日期——而非公告日期——开始取证审查所需的时间。

使用一条决策规则：如果你无法证明哪些存在漏洞的二进制文件正在运行，你就没有完成事件修补。设定四小时目标来识别暴露实例，设定 24 小时目标来打补丁、隔离或将其下线。NCSC 的指南之所以直白是有原因的：捆绑依赖也算数，临时缓解措施需要有限度，无法保护的系统可能需要从网络中消失。

关于哪个 AI 模型先发现漏洞的争论。功劳对研究者很重要；它不会减少你的暴露。真正的问题是，修复是否能在 exploit 知识到达下一个攻击者之前到达在线进程。

OpenAI 模型即将登陆 Google Cloud：客户将能够通过 Google Cloud Marketplace 购买它们，动用现有的云承诺，并将使用量计入一张云发票。前沿模型正在成为买家已控制的云账户内的采购选项。

TorchTPU 让 TPU 成为 PyTorch 的原生目标：这个开源栈将熟悉的 PyTorch 工作流连接到 Google TPU，并与 Hugging Face、vLLM、SGLang 和 Ray 等服务和训练工具集成。当切换只需指定设备目标而非重写代码时，硬件竞争才真正开始。

商业正在为算力之下的电力层提供资金：四份意向书涵盖高达 3.89 亿美元的功率半导体和材料，横跨聚变、电网基础设施和先进计算。下一个算力瓶颈可能是转换和输送电力的电子器件，而不是请求电力的处理器。

在 AI 时代的安全中，第零天是一个内部时间戳——不是新闻稿。

软件一直有 bug；新的特点是每个人都在大致相同的时间变得更快地找到它们。你的变更控制会议没有收到备忘录。获胜的组织将保留控制措施并消除等待。

PHP2Shell 仍需要针对具体部署的工作才能可靠地武器化，多个防御者报告了尝试，但没有确认的成功入侵。并非每个关键评分都值得关闭整个机群。该论点在暴露面向互联网、影响严重且存在可信 exploit 活动的情况下成立；纪律是快速、基于证据的分诊——而不是永久的紧急模式。

在构建 AI 系统时遇到规模或信任问题？Nadia 可以提供帮助。回复或联系。