CVSS 9.2 的 PHP 漏洞：NSA 建议打不上补丁就下线，思科部分修复要等到 2027 年 2 月
shashib · x · 2026-10-24
美国国家安全局（NSA）针对两个 CVSS v4.0 评分达 9.2 的 PHP 运行时严重漏洞发布建议：无法打补丁的系统应直接下线，直至完全缓解。由于 PHP 支撑约 70% 的已知服务端语言网站，影响面极广。
关键事实：
- 漏洞位于 PHP 运行时本身，更新插件或应用代码无效，必须替换底层引擎
- 最棘手的是「厂商内置 PHP」的场景：设备、托管控制面板等，用户无法自行修复，修复时间取决于厂商
- 首次利用尝试发生在披露前 4 天（10 月 17 日，据亚马逊）
- 思科仍有 13 种产品在排查中，其 Ultra-Reliable Wireless Backhaul 的修复日期定在 2027 年 2 月
作者提醒：营销团队多年前装的插件、只列 Web 界面却未标明底层语言的设备是常见盲区，基于公开 DNS 记录的资产盘点会漏掉它们。
「Infra」频道最新
- OpenRouter 幻灯片曝光：token 用量暴涨，混合均价同步骤降 — aniketmaurya · 2026-10-24
- Jack Dorsey 点赞全双工实时语音模型，仅用一台 GB200 训练 — TinfoilTricorn · 2026-10-24
- Level1Techs 视频详解：如何让本地 AI 输出更高质量结果 — Thrumpwart · 2026-10-24
- Reddit 热议：OpenAI 和 Anthropic 不过是「GPU 套壳」，利润率将被压到零 — Frosty_Toast_Man · 2026-10-24
- AI 网关开发实录：5 个「OpenAI 兼容」的谎言与踩坑 — respan-81 · 2026-10-24
- 能飞的能浮的能微调的，租都比买便宜 — yaroslavvb · 2026-10-24