PHP编程语言存在一个严重漏洞，而PHP是超过70%网站的基础语言。该漏洞若不修复，将使黑客能够轻易控制并入侵数百万个网站及其服务器上的信息。作为应对措施，包括鹿特丹港在内的多个欧洲国家政府和运营商已关闭了相关网站。
澳大利亚 信号局、美国 网络防御局以及英国、欧洲和日本的类似机构都已警告网络开发人员，必须对其核心系统进行紧急更新，并考虑关闭网站，直到安全得到保证。
开发这种免费开源语言的组织已经 发布了修复该漏洞的更新 ，但对数百万使用 PHP 的系统进行更新需要时间。
什么是PHP？
PHP 常被 称为 “Web 的脊梁”。它是 一种编程语言 ——一种向计算机发出指令的方式——自 1997 年以来一直存在，它允许网站管理用户输入并在后台处理信息。
PHP 的强大之处在于它的多功能性。网站使用它来完成各种任务，从用户登录账户和运行在线商店，到从数据库请求数据，再到为数百万篇博客文章和新闻网站提供支持。.
PHP运行在服务器上，而不是你的个人电脑上。这意味着我们大多数人每天都在与PHP交互，却从未真正看到过它。.
一系列担忧的时间线
8 月，一家名为 Wiz 的公司的网络安全研究人员使用他们自己的工具以及最新版本的 Google Gemini 和 OpenAI ChatGPT AI 模型， 对 PHP 的庞大代码库进行了扫描。
Wiz 团队正在寻找隐藏的编程漏洞，攻击者可以将这些漏洞串联起来，只需通过互联网发送精心构造的请求，即可控制运行 PHP 的系统。.
短短几天内，他们就找到了入侵 Drupal 和 WordPress ，而这些系统在网络上被广泛使用。
Wiz联系了PHP安全团队，告知他们发现的漏洞。9月下旬，PHP开发人员确认了问题的存在，并悄悄地开始着手修复。.
在网络安全领域，发现漏洞后最负责任的做法是保密，直到补丁发布为止。这是因为公开披露漏洞信息可能会为黑客提供详细的攻击路线图。.
这似乎正是 PHP 开发人员的计划。然而，昨天，一位用户在知名行业网站 Hacker News 不小心泄露了这些安全漏洞，而当时补丁程序尚未发布。
泄露事件发生后，PHP 开发人员于 10 月 21 日紧急公开确认了该问题，并提前发布了紧急补丁。.
实施这些补丁远非易事。由于 PHP 是数千个第三方插件、框架和托管服务的基础，因此只有当供应链中的每一层都集成并部署了 PHP 修复程序后，网站才能真正安全。.
为什么这种事总是发生？
互联网的许多基础技术都是由业余开发者开发和维护的。许多互联网项目依靠的是 善意和捐赠， 而不是雄厚的企业资金。
这些工具大多是几十年前开发的。它们的设计初衷并非为了安全地支持如今数百万网站和数十亿设备使用它们来处理敏感和私密数据的世界。
雪上加霜的是，维护很少被企业列为优先事项。很多时候，企业对其供应链的各个环节——无论是实体环节还是数字环节——都只有最基本的了解。
即使是像这样备受瞩目的案件，许多企业甚至都没有意识到自己依赖的软件是什么，更不用说了解它的安全性了。.
你应该怎么做？
这个问题主要涉及网站维护者或技术基础设施管理人员。对他们而言，首要任务很明确：一旦有更新可用，立即修补系统；并考虑将关键系统从互联网上关闭，直到确保其安全性为止。.
对于普通互联网用户而言，这些漏洞影响的是托管网站的服务器，而不是您的个人设备。但是，由于某些网站在修复漏洞之前可能会暂时受到攻击，因此在接下来的几天里，在不熟悉的网站上输入敏感的个人数据时务必谨慎。.
各大云服务提供商和安全公司正在推出紧急过滤器，但全球保护网络安全的行动才刚刚开始。.
世界各地的网络安全团队正在争分夺秒地控制损失。但此次事件的严重程度应该敲响警钟。.
政府和企业都不能忽视其数字供应链的韧性。正如制造商会追踪其所依赖的实体零部件供应商一样，我们也应该期望数字基础设施能够追踪其所依赖的每一个系统和框架。.
收集这些信息是企业和政府真正了解其数字化生存能力在多大程度上依赖于资金不足、由志愿者维护的代码的第一步。除非企业将资助开源基础工具视为一项关键的安全投资，而非慈善行为，否则这些漏洞将持续存在。.
安德鲁·库伦，墨尔本大学计算机与信息系统学院客座研究员。
经知识共享许可协议转载自The Conversation 。阅读原文。
