PHP '结构性缺陷'致全球宕机，币安 CZ 紧急示警

据 Woofun AI 消息，PHP 基金会正式承认其内部存在的'结构性缺陷'直接导致了针对 2024 年首次发现的严重安全漏洞修复工作的严重滞后，这一失误最终迫使全球范围内的政府机构、科技巨头及区块链项目方在补丁发布期间纷纷关闭网站以规避风险。该漏洞允许未经身份验证的攻击者在被感染服务器上执行代码，而修复工作的停滞被归因于开发团队对破坏庞大软件生态系统的担忧以及核心成员资源分配的冲突，这种决策迟疑与资源短缺的组合效应被基金会明确界定为系统性失败，而非单纯的技术难题。

从结构上看，此次危机的发酵过程揭示了开源核心基础设施维护中的深层矛盾。2024 年，开发人员虽已察觉该漏洞迹象，但由于当时尚无已知的远程代码执行（RCE）路径，且负责引擎开发的少数核心团队成员需兼顾其他任务，修复方案在数月间反复停滞又重启。基金会坦言，不愿掩饰这一事实：延误既源于安全团队的决策流程问题，也受制于资源不足。直至 8 月 11 日，安全公司 Calif 和 OpenAI 分别报告了同样的根本问题，且 Calif 展示了无需任何前提条件即可实现的远程代码执行功能，该漏洞才再次成为亟需解决的安全焦点。

值得注意的是，在紧急补丁准备安装期间，全球多个关键节点被迫下线：荷兰关闭了其数字身份服务及国家网络安全中心网站；芬兰国有 IT 服务提供商 Valtori 关闭了政府公共网络服务；法国内政部暂时关闭了各地省级政府网站；德国联邦 IT 服务提供商 ITZBund 也关闭了多个网站；澳大利亚信号局承认其网络安全网站 cyber.gov.au 受到影响；日本首相高市早苗在 X 平台上呼吁网站运营商尽快应用补丁，若无法立即安装则应暂停功能以降低风险；运营维基百科的维基媒体基金会为谨慎起见关闭了 Toolforge 及 Cloud VPS 等辅助服务，导致部分页面无法访问。

Woofun AI 整理数据显示，在加密货币领域，区块链安全公司慢雾通过 服务对行业内的 PHP 使用情况进行了检测，在 1,488 个域名中鉴定出 793 个存在明显 PHP 使用特征，建议交易所、DeFi 平台及钱包服务提供商检查风险并及时升级。致力于推动 发展与治理的 在评估风险期间暂时关闭了会员专区，截至本文撰写时仍处于关闭状态。相比之下， 首席安全官 Jeff Lunglhofer 称未发现任何 PHP 实例存在漏洞，并强调与第三方供应商合作以增强保障；数字资产基础设施公司 BitGo 也表示其平台未受影响。

然而，风险态势并未完全解除，币安（）联合创始人赵长鹏在周三警告互联网用户，在接下来的几天里访问任何网站时都要'格外小心'，因为部分网站管理者可能尚未完成补丁安装。OpenAI 已推出名为 的技能工具，可通过 GitHub 获取，帮助运营商检测漏洞版本并确定补丁。

尽管 PHP 安全团队表示目前尚未发现实际攻击案例，但全球范围的防御性关停已凸显该基础设施的脆弱性。

此次事件标志着 Web2 底层基础设施风险向 Web3 生态的直接传导，暴露出关键开源项目在资源约束下面临的维护瓶颈。随着 Calif 展示无前提条件的 RCE 能力，攻击门槛显著降低，促使从政府到区块链项目方采取极端防御措施。赵长鹏的公开警告进一步放大了市场对该漏洞潜在影响的关注，预示着短期内互联网服务将处于高度戒备状态。这再次凸显了单一编程语言漏洞对全球数字基础设施构成的系统性威胁，未来开源核心组件的治理模式与资源分配机制或将面临更严格的审视与重构。