再生时代 - 整合全球办公设备及耗材资源

近日，PHP开发团队发布四个版本，修复核心层两个可导致未授权远程代码执行（RCE）的漏洞，CVSS v4.0评分均为9.2。所有更早版本均受影响；PHP 8.1及更早版本已不再获得官方更新，团队仅为7.4、8.0、8.1提供了最小化源码回溯补丁。

成因有两种：一是内存耗尽处理不当——中断发生时请求数据仅部分初始化，后续清理会把无效数据当作有效数据处理；二是“陈旧全局状态”——请求持有的内部状态在其内存释放后仍然存活，同一worker处理的下一个请求可能在正常初始化重置之前复用到它。

时间线相当紧张。10月20日细节提前泄露，PHP将原定发布提前一天；Cloudflare在21日即观察到攻击流量，早于补丁上线，watchTowr确认漏洞真实并复现了其中一个。已有研究者在Magento、WordPress、Drupal、Joomla、Laravel、Symfony等应用上验证了代码执行，荷兰DigiD、MijnOverheid及日本部分在线服务一度主动下线。

PHP方面表示没有完整的临时缓解方案，升级是唯一彻底的处置方式。截至10月21日，两个漏洞尚未进入CISA KEV目录；利用难度因平台而异，x86-64环境下能绕过ASLR的公开利用仍属少数。