PHP 爆出 9.2 分严重漏洞：全球 40% 的网站可能中招，补丁已发但没法自动装

今天很多网站不太敢接人。不是因为流量，是因为一个 9.2 分的漏洞，补丁发了，但大部分站长不知道该由谁来装。

三个关键信息

PHP 官方于 10 月 21 日发布安全公告，修复两个可导致未授权远程代码执行的严重漏洞，严重性评级 9.2（满分 10）。 受影响的版本覆盖 PHP 5 以后的几乎所有版本。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35；官方强烈建议所有用户立即更新。

这不是少数人的问题，是全网的问题。 据 The Verge 报道，安全研究者估计超过 130 万台联网主机可能受影响。更关键的是 WordPress——Wordfence 警告称，所有 WordPress 站点都受影响，因为它们都跑在 PHP 服务器上，而 WordPress 去年自报的份额是「超过互联网的 40%」。

最要命的一点：补丁不能通过自动更新安装。 Wordfence 明确警告，站点所有者必须自己搞清楚「谁负责更新 PHP」，然后手动打补丁。欧盟 CERT 与英国 NCSC 均已发布公告，建议无法立即修补的公司把面向互联网的应用隔离或直接下线；GrapheneOS 已经把用户论坛临时下线，理由很实在——「概念验证利用代码已经在开发，我们不想冒这个险」。

王斗视角

先看那个「不能自动更新」。这是整个事件里最荒诞的一句话。一个评分 9.2、覆盖全网四成站点、能让人直接在你服务器上跑代码的漏洞，官方给出的修复方式是——「请你自己去手动装」。WordPress 插件能一键更新，WordPress 核心能一键更新，但支撑它们的那个底座，很多人连它在哪台机器上都不知道。

这就是「技术债」最真实的样子：不是一笔抽象的账，而是一个具体的问题——「你们公司谁负责给 PHP 打补丁？」大多数公司的回答是沉默。因为 PHP 不是某个人的 KPI，它是那个「一直能用所以没人管」的东西。

再看时间线。公告 10 月 20 日发，补丁 10 月 21 日装好，而安全研究者已经预计「发布后 15 分钟内就会出现大规模攻击」。这不是危言耸听，这是现代漏洞的常态：补丁和利用代码几乎同时上线，中间那段缝，就是所有没准备好的人被收割的时间。

所以这篇文章的真正结论不是「快去升级 PHP」，而是：你的安全水位，取决于那条最长的责任链。当一条链上任何一环的人说「这不是我负责的」，整个系统就等于没打补丁。

来源：PHP 官方安全公告 · The Verge