内容管家
评论0字数 656阅读2分11秒阅读模式
PHP 漏洞潮未平息：Wiz CTO 谈 PHP2Shell 与即将到来的"漏洞末日"
PHP 的恐慌可能已经从你的信息流里淡去，但收尾工作远未结束。上周，开源语言 PHP 曝出两个严重漏洞。PHP 支撑着全球约 70% 的网站，多家组织在紧急抢修期间，甚至不得不先将站点下线，直到补丁确认可用才恢复服务。
发现这两个漏洞的研究人员认为，问题远不止于此——AI 正在改变新漏洞被发现和被利用的速度。
核心变化：从内部视角看一场"抢修竞赛"
在 TechCrunch 的 Equity 播客中，主持人 Rebecca Bellan 与 Wiz（谷歌旗下）曝光管理与 AppSec 首席技术官 Tomer Schwartz 对话。Schwartz 参与了当时的应急响应——与他并肩作战的还包括 OpenAI、研究团队 Calif 以及 PHP 核心团队本身。
节目中的讨论集中在三点：
- 抢修竞赛内部长什么样：从亲历者视角还原发现、验证、修复到推动上游打补丁的完整过程。
- 早期创业公司如何带着安全意识起步：在资源有限的前提下，把安全设计前置到产品早期，而不是事后补救。
- 为什么手工打补丁无法规模化：漏洞数量随 AI 加速增长，靠工程师逐个手工修的模式在数量级面前必然失效。
影响与建议
对运维和安全团队的直接启示是：单点补丁不再是可持续的应对方式。当 AI 让新漏洞的曝光与利用周期显著缩短，"上线前修掉"这种串行流程会越来越被动。
可以着手考虑的方向：
- 把漏洞响应从"人肉驱动"转向"流程驱动"，明确监控、验证、修复、回归的责任边界与时限。
- 优先建立暴露面管理视角，明确哪些资产在线、用了什么版本，而不是等漏洞公告出来再去排查。
- 在架构早期纳入安全约束，尤其是对早期团队——安全债务和功能债务一样，越晚偿还成本越高。
- 关注上游与生态协同的节奏，像这次 PHP 事件一样，实际修复速度很大程度上取决于漏洞发现者、厂商与语言团队之间的配合。
评论