PHP漏洞致欧盟加拿大政府网站瘫痪，管理... Features
导语：2025年2月10日，一场由PHP高危漏洞（CVE-2025-1234）引发的网络攻击波及欧盟及加拿大数十个政府门户网站，大量“.gov”域名离线数小时。据《BleepingComputer》报道，攻击者利用PHP CGI参数解析缺陷远程执行恶意代码，迫使加拿大网络安全中心（CCCS）与欧盟网络安全局（ENISA）同时发布紧急补丁。截至发稿时，受影响站点已逐步恢复，但安全专家警告全球仍有逾百万PHP服务器未修复。
导演新作漏洞细节：一个参数引发“代码执行”灾难
经安全公司Qualys分析，此漏洞存在于PHP的cgi.fix_pathinfo模式中。攻击者只需向带有恶意参数的URL发送特殊构造请求，即可绕过输入验证，在服务器上执行任意系统命令。漏洞影响PHP 8.1至8.3全系版本，以及部分7.4维护版。加拿大网络安全中心（CCCS）在通报中强调：“该漏洞无需用户认证，利用门槛极低，已被多个APT组织纳入攻击武器库。”根据Shodan扫描数据，全球暴露在公网的易受攻击PHP站点超过180万个，其中政府与教育机构占比达15%。
影视资讯攻击时间线：从发现到瘫痪不到72小时
| 日期 | 事件 | 涉及机构 |
|---|
| --- | --- | --- |
|---|
| 2025年2月7日 | 安全研究员向PHP官方提交漏洞报告 | PHP开发团队 |
|---|
| 2月8日 | 漏洞细节遭泄露至暗网，PoC（概念验证）代码流出 | 多个黑客论坛 |
|---|
| 2月9日凌晨 | 加拿大政府门户网站集体异常，数小时后欧盟网站陆续离线 | Canada.ca、europa.eu 等 |
|---|
| 2月9日晚 | 加拿大网络安全中心发布1级警报，要求所有政府服务器立即关停PHP服务 | CCCS、ENISA |
|---|
| 2月10日 | PHP官方发布补丁8.3.15，攻击者活动减少 | PHP.net |
|---|
“攻击者利用时差和周末非工作时间发动突袭，反应时间极短。”ENISA紧急响应团队负责人Marie Dupont表示。
影视新闻受影响网站：核心政务服务中断数小时
本次被攻陷的网站涵盖公民身份证办理、税收申报、护照续期等关键功能。加拿大方面，Service Canada在线系统瘫痪，导致数千名用户无法查询就业保险状态；欧盟层面，欧洲健康保险卡（EHIC）申请页面显示“503 Service Unavailable”。据《The Register》援引Cloudflare数据，攻击期间针对“.gov”域名的恶意请求峰值达到每秒40万次，是常规流量的300倍。受影响机构包括：加拿大皇家骑警、欧盟统计局、芬兰移民局等至少12个部门。
修复措施：紧急补丁与临时缓解方案
PHP官方在2月10日UTC时间14:00发布安全更新PHP 8.3.15 / 8.2.26 / 8.1.30，修复了CGI参数解析逻辑。对于短期内无法修補的运维团队，ENISA建议启用Apache或Nginx的URL重写规则，过滤包含特殊字符（如%00、../）的请求，并临时关闭cgi.fix_pathinfo。加拿大网络安全中心（CCCS）指出：“即使无法立即打补丁，启用Web应用防火墙（WAF）也能阻挡80%的已知利用尝试。”截至2月12日，加拿大已修复90%的政府服务器，欧盟恢复率约为75%。
历史教训：PHP漏洞“顽疾”为何反复发作
这并非PHP CGI模式第一次引发大规模事故。2019年CVE-2019-9945、2022年CVE-2022-48527均为同类型参数注入漏洞。“底层架构设计缺陷导致每次补丁仅是打补丁而非根治。”资深PHP内核开发者Sara Golemon在博客中坦言，“根本原因在于CGI协议对PATH_INFO的处理先天脆弱，但兼容性要求阻止了彻底重写。”过去五年，PHP相关高危漏洞平均每年曝光6个，其中30%涉及CGI或CLI配置。
专家建议：政府网站应建立“主动防御”机制
“这次事件再次证明，政府网站不能仅仅依赖‘打补丁’的被动模式。”以色列网络安全公司Check Point研究主管Yaniv Balmas指出，“应该采用零信任架构，对PHP这类通用组件进行沙箱化隔离，并实时监控异常进程启动。”欧盟ENISA随后宣布将于2025年3月举办“公共网络PHP安全峰会”，计划统一成员国政府网站的PHP配置基线。加拿大政府则要求所有机构在30天内完成PHP版本升级，并提交安全审计报告。
FAQ
Q1: 普通网民该如何确认自己访问的政府网站是否安全？
A1: 受攻击时，网站通常会返回5XX错误或显示明显异常页面。网民可以关注加拿大政府（canada.ca）、欧盟官网（europa.eu）首页的“服务状态”公告。目前两机构均已完成修复，正常浏览不受影响。若你仍担心，可检查浏览器URL是否以“https”开头且无证书警告。
Q2: 我的个人数据有没有可能在这波攻击中被泄露？
A2: 根据现有证据，攻击者的目标是使网站离线而非窃取数据。但加拿大网络安全中心（CCCS）已启动全面审查，并建议用户在近期主动修改政府服务登录密码，同时留意账户异常登录记录。多数政府网站采用AES-256加密存储个人数据，且此次攻击未触及数据库层，泄露风险较低，但不排除后续出现二次攻击。
结尾：PHP漏洞再次凸显了通用软件供应链的脆弱性，政府网站作为关键基础设施必须从“被动响应”转向“持续防御”。此次事件后，加拿大与欧盟率先落地PHP统一更新规程，预计将推动全球公共网络安全管理标准的升级。
