一次 PHP 漏洞后的思考

近日，PHP 公布两项 CVSS v4.0 评分为 9.2 的严重漏洞，并发布修复版本。在特定条件下，攻击者无需登录，就可能在服务器上执行代码。¹

我检查了现有业务系统：运行环境是 PHP 7.4.33，供应商已无后续支持。直接升级，需要先解决应用兼容问题；维持现状，则需要评估漏洞带来的风险。

围绕这件事，我考虑了三个阶段的处理思路。

短期，通过 IP 访问限制，尽可能缩小系统的公网暴露范围。 同时梳理门店、移动端和外部接口的访问需求，避免限制措施影响正常业务。

中期，评估 mTLS 双向认证。 为能够统一管理的终端配置客户端证书，并核实小程序等入口的适配方式，以及证书签发、更新和吊销的维护安排。

长期，对应用框架和依赖进行兼容性改造。 经过业务验证后，迁移到持续维护、包含安全修复的 PHP 环境。

访问限制与身份认证能够降低暴露风险，但不能代替漏洞修复。可用补丁及其他过渡方案，也需要进一步核实。

经过沟通，目前决定暂不推进上述处理方案。相关思路先记录下来，供后续重新评估时参考。

漏洞评分并不代表系统一定会遭受攻击，具体影响仍取决于运行方式、配置和可利用路径。但业务仍在依赖这套系统，服务中断、数据异常及恢复所需的时间，都是需要考虑的后果。

目前系统运行正常。我希望这种正常能够持续，也对旧环境今后的维护留有一些担忧。

暂缓的是处理安排，风险是否变化，仍需要继续观察。