AREX Feed Article
PHP2Shell 披露次日：野村、三菱日联、全日空、东日本铁路暂停部分网络服务，纳德拉称「很久、很久没见过这样的事」
PHP2Shell 漏洞披露后的第二天，应急措施从政府网站扩大到全球大公司。据 10 月 22 日发自东京、北京和阿姆斯特丹的电稿（读卖新闻英文网站 The Japan News 于 10 月 23 日刊出），日本券商野村、三菱日联金融集团、全日空（ANA）与东日本铁路周四（10 月 22 日）表示，作为紧急措施的一部分，临时暂停部分互联网服务；微软 CEO 萨提亚·纳德拉当天在德国的一场活动上说：「我很久、很久没见过这样的事了。」
PHP 是支撑全球约 70% 网站的编程语言，此次披露涉及其中两个 critical（严重）级漏洞。据 报道，修复与公开披露已于周三（10 月 21 日）发布；路透社称，PHP 开发者在发布修复时敦促用户「立即更新」。 报道称，当天欧洲多国政府预防性下线了自己的网站，美国国家安全局（NSA）罕见地公开建议无法立即更新的机构把网站下线。
图：CNN 10 月 23 日 PHP2Shell 报道配图。
银行、航空、铁路、税务：日本周四的连锁暂停
路透社列出的名单不止那四家公司：啤酒商朝日集团控股暂时下线了部分网站与系统，并进行安全影响评估；保险公司东京海上控股暂停了集团官网；日本财务省和气象厅部分暂停在线服务以实施安全措施；国税厅临时下线了其服务。路透社写道，从东京到赫尔辛基，银行、航空、铁路、税务和政府服务的紧急下线，是对这些维系着互联网运转的几十年代码最富戏剧性的考验之一。
日本方面的紧张程度有数据可循：路透社援引 TrendAI 的数据称，日本今年前九个月记录的网络事件数量已超过去年全年。Al Jazeera 报道称，日本首相高市早苗在社交媒体发帖提示 PHP 风险；X 用户 则称，日本首相于凌晨 5:55 发帖，呼吁 4,880 万人将系统下线。
披露后 45 分钟，攻击尝试从数万次跳到数十万次
Cloudflare CEO Matthew Prince 周三深夜在 称：「在公开宣布前的 10 个小时里，我们在整个网络上看到了数千次利用尝试。宣布后 45 分钟内跳到数万次，2 小时内数十万次，现在是数百万次。」路透社报道称，Amazon 也表示观察到了广泛利用。
比利时安全公司 Aikido Security 联合创始人 Madeline Lawrence 对路透社表示，漏洞细节在修复就绪之前就已公开，此后陆续有攻击报告出现：「企业正在抢着升级，而对面的攻击者可以用 AI 来发起利用。这就是整场竞赛。」
Orange 暂停部分站点，中国工信部要求排查，韩国上调警报级别
应急范围在周四继续扩大。路透社报道称，法国电信运营商 Orange 已在多家子公司预防性暂停了对部分基于 PHP 的网站和应用的访问；腾讯云建议客户安装更新后的 PHP 版本，但没有呼吁大范围下线网站。中国工信部敦促各组织与用户排查系统、升级到最新的 PHP 安全版本，并建议加强网络安全监测、必要时更换账号、密码和密钥；韩国上调了民间部门的网络安全警报级别，并启动应急响应措施。
芬兰的恢复速度说明了收尾的难度。芬兰国家 IT 服务机构 Valtori 通宵安装 PHP 安全补丁，并在此前一天下线政府公共网络服务后逐步解除预防性封锁。Valtori 总干事 Hannu Naumanen 在声明中说：「恢复服务可能需要数天甚至数周，因为除了更新之外，系统还需要仔细测试。」Valtori 同时说明，此次下线并非因漏洞被利用或遭网络入侵所致，它也不了解有任何主动利用行为。
德国数字产业协会 Bitkom 安全主管 Felix Kuhlenkamp 提醒，大型运营商大多已完成更新，但复杂 IT 系统和小型组织可能需要更久：「他们可能用 PHP 跑着一个网站，但并不真的盯着它。如果一个网站基于的 PHP 旧版本已没有安全更新，整个系统都必须升级。」
22 年未被实际利用的漏洞，AI 两天找到攻击方法
纳德拉还在同一场活动上说，这一事件说明，随着系统日益复杂，构建能被安全维护的软件十分重要。「这一天很长，这一夜也很长——我知道，对所有 IT 和安全人员来说都是如此。」
这件事为什么突然爆发，CNN 给出了一条时间线：这个 PHP 漏洞已被知晓 22 年，但人类一直难以实际利用它——攻击者需要在特定瞬间强制服务器内存耗尽，工作繁琐到不值得尝试。7 月 30 日，AI 安全公司 Calif 的研究者在 OpenAI 新发起的 Patch the Planet 计划下把一个大语言模型指向 PHP；8 月 1 日，他们得到了一套攻击这些漏洞的方法。据 Al Jazeera 报道，Calif 于 8 月 11 日报告了第一个漏洞，Alphabet 旗下的 Wiz 于 8 月 24 日报告了第二个。Calif 研究者 Ryan Austin 在博客中说明，公司没有使用任何未向公众开放的特殊模型。卡内基梅隆大学教授 Vyas Sekar 对 CNN 表示，AI 做到这一点「非常、非常快——比人类更擅长」，并称「这可能是同类事件中的第一个。这是一记警钟」。
图：Al Jazeera 报道所用资料照片，OpenAI 标志显示在键盘前的屏幕上（Reuters/Dado Ruvic 摄，2023 年 2 月）。
修复推进的同时，缺口仍在。fiveoutofnine 的复盘帖转述 Censys 统计称，约有 150 万台服务器仍在运行没有修复版本的 PHP，其列出的受影响应用包括 WordPress、MediaWiki、Magento、Joomla 与 Laravel。CNN 援引 CrowdStrike 负责反制对手（counter adversary）业务的副总裁 Adam Meyers 的话说，许多过时的 PHP 版本仍在使用，补丁几乎可以肯定没有修完 PHP 的所有问题；「坏人不需要最先找到漏洞——他们可以在事后把它武器化。我们仍在等待观察这类攻击有多少会出现在真实世界里。」至于迁移出路，Meyers 对 CNN 说：「把网站从 PHP 迁走是相当昂贵的过程。这不是从微软邮件换成谷歌邮件；你需要重建整个应用。」