PHP 连爆两个 9.2 分远程执行漏洞：还跑着老 PHP 系统的单位先查版本
企业网站和内部管理系统的老底子 PHP，最近出了一记响亮的警报。据安全媒体报道，PHP 官方通报了两个严重级别的远程代码执行漏洞，CVSS v4.0 评分都到了 9.2 分，而且都属于不需要登录就能远程利用的类型------也就是说，只要网站或系统对外开着，攻击者就有机会直接在服务器上执行任意代码。报道的表述相当直接：修复版本发布后，全球网站需要尽快打上补丁，官方同时给出了修复版本号，受影响范围覆盖大量仍在服役的老版本。对企业来说这类组件最麻烦的地方在于"看不见"：网站是外包做的、后台是多年前的老系统，管理员日常只看页面能不能打开，底层脚本语言是什么版本、有没有人管升级，往往没人数得清。
对中小企业意味着什么：这类高分洞不可怕，可怕的是拖着不查。三条务实建议：第一，今天就盘点资产。把公司对外跑的网站、后台管理系统、内部 OA、报修系统列一张清单，逐个确认开发语言和版本，PHP 5、PHP 7 这类老版本尤其要标红------影响面覆盖大量现役老版本，越老越危险；第二，升级要连着应用一起看。直接升 PHP 大版本可能让老代码跑不起来，稳妥做法是先在测试环境过一遍，不行就先上同大版本的修复版堵洞，再排期改造；第三，把"组件版本"纳入例行体检。不止 PHP，服务器上的中间件、开源组件都该半年盘一次版本，别等通报上了新闻才知道自己也在受影响名单里。没有专人管这块的单位，让外包商书面回复"用的什么版本、是否受影响"，这一句话能省掉后面很多麻烦。
官网、后台系统的版本排查与升级评估，贵州诚鑫致达科技可以帮本地企业做一次快速盘点，有疑问欢迎留言聊聊。