漏洞预警通报

2024年6月13日深夜，漏洞一个编号为CVE-2024-4577的通报PHP漏洞被公开利用。攻击者只需向存在漏洞的漏洞Windows服务器发送一条特制请求，就能在目标机器上执行任意代码。通报这不是漏洞理论推演——公开后24小时内，全球有超过1.2万个IP地址遭到扫描探测，通报其中大量来自自动化攻击工具。漏洞

这个漏洞影响PHP 8.1、通报8.2、漏洞8.3全系版本，通报且只针对Windows环境。漏洞问题出在PHP的通报Windows版本对Unicode字符处理不当，攻击者可以利用“软连字符”（U+00AD）绕过命令行的漏洞参数过滤，最终通过CGI模式把恶意指令喂给系统。通报更麻烦的漏洞是，很多企业用的是XAMPP、WAMP这类集成环境，默认就开启了CGI模式，等于漏洞就摆在门口。

我认识的一位安全工程师在漏洞公开当晚就接到了客户电话。客户是家做跨境电商的小公司，服务器上跑着老旧的PHP 8.1，用的还是Windows Server 2016。他们连补丁都没来得及打，隔天早上网站首页就被篡改成了一串乱码。幸好攻击者只是炫耀技术，没有植入勒索软件，否则后果不堪设想。

打补丁这件事，说简单也简单，说难也难。PHP官方在6月6日就发布了修复版本8.1.29、8.2.21和8.3.9，但很多管理员压根没注意到更新通知。更麻烦的是，有些企业用的是自编译的PHP，官方补丁无法直接套用，需要手动修改源码再重新编译。这活儿对老手来说不算什么，可对运维人手不足的小团队来说，就成了一道坎。

有个细节值得留意：这个漏洞的发现者不是安全研究员，而是一个叫Orange Tsai的台湾黑客。他之前就挖出过不少PHP的经典漏洞，这次还专门写了篇技术分析文章，把漏洞原理掰开揉碎了讲。这种“白帽子”公开披露的做法，让攻击者和防御者站在了同一起跑线上——谁先动手谁占先机。

如果你还在用Windows跑PHP，我建议你立刻做三件事：第一，检查PHP版本，低于8.1.29的统统升级；第二，如果实在没法升级，临时关闭CGI模式，改用FastCGI或者Nginx的PHP-FPM；第三，查看服务器日志里有没有异常的POST请求或包含“%AD”字符的访问记录。别觉得麻烦，这次漏洞的利用门槛低到离谱，网上甚至有人写好了现成的攻击脚本，点一下就能用。

说到底，漏洞预警这种事，最怕的就是“狼来了”喊多了没人信。但这次不一样，公开利用代码已经有了，攻击活动已经发生了。你要是还抱着“等等看”的心态，那就等于把自己的服务器当成了别人的练手靶场。