PHP2Shell漏洞：补丁已发布，脆弱服务器仍未修复

PHP已为PHP2Shell漏洞发布补丁，但运营者安装更新并重启PHP之前，服务器仍面临风险。这些漏洞的严重性评分为9.2分（满分10分），攻击者可能无需登录便在网站服务器上运行代码。补丁于10月21日发布，但漏洞细节和攻击工具此前已出现，促使多个国家的政府机构和大型服务商预防性关闭网站。 Cloudflare首席执行官Matthew Prince称，网络上已出现数百万次PHP2Shell攻击尝试。德国联邦信息安全办公室（BSI）和日本政府表示，尚未确认攻击成功；亚马逊则称，其诱饵服务器在漏洞公开前的10月17日记录到一次攻击尝试。PHP基金会表示，团队在2024年已发现其中一个漏洞的迹象，并将修复延迟称为“结构性失误”。网络安全公司Mallory统计发现，约有88.4万个面向互联网的主机运行着没有官方修复支持的PHP版本。目前成功利用漏洞的报告仍不明确，部分研究人员警告攻击可能升级。 目前没有加密货币交易所或钱包公开报告与PHP2Shell有关的安全事件。不过，被攻陷的网站可能泄露凭证、将访客引向诈骗页面，或伪装成正规加密服务，诱骗用户批准恶意钱包交易。该漏洞影响的是服务器软件，而非用户设备。加密货币交易者应使用已收藏的网址和官方应用，避免点击意外的更新提示或安全邮件链接，启用双重验证、限制API密钥权限，并仔细核对钱包地址及授权提示，避免签署意外交易。交易机器人运营者也应检查并更新相关软件依赖。