CISA 限令 3 天修复 PHP 高危漏洞： fed机构都急了，自建服务器该怎么自查

美国网络安全和基础设施安全局（CISA）近日确认，此前披露的 PHP 高危漏洞（CVE-2024-4577 家族的延续性漏洞）已被黑客在真实攻击中利用，并要求所有联邦民事机构在 3 日内完成系统修复。影响范围覆盖约 70% 的网站，如果你的服务器还在跑 PHP，这篇应急自查指南请收好。

## 漏洞为什么严重

该漏洞位于 PHP CGI 参数解析层，攻击者可以通过特制 URL 参数实现**远程代码执行（RCE）**——不需要任何账号密码，一个 GET 请求就能拿下服务器。已观测到的攻击行为包括：

– 部署 Webshell（持久化后门）
– 挖矿木马植入
– 数据窃取与勒索

## 五分钟自查清单

### 1. 确认是否受影响

“`bash
php -v
“`
如果你的版本低于官方修复版本（8.1.x / 8.2.x / 8.3.x 对应分支的最新补丁），即受影响。

### 2. 检查是否被攻击过

“`bash
# 查异常进程
ps aux | grep -v “\[” | grep -iv “systemd\|sshd\|nginx\|php-fpm\|mysqld”

# 查可疑定时任务
crontab -l; ls -la /etc/cron.d/

# 查 web 目录近期新增/修改的 php 文件
find /www -name “*.php” -newermt “2026-10-01” | head -20

# 查 SSH 后门公钥
cat ~/.ssh/authorized_keys
“`

### 3. 升级

“`bash
# CentOS/Alma/Rocky
yum update php*

# Ubuntu/Debian
apt update && apt install –only-upgrade php*
“`

宝塔用户直接在「软件商店 → PHP → 升级」操作。

### 4. 额外加固

– PHP 网站关闭 `cgi.fix_pathinfo=1`
– Nginx 配置里删掉所有 `\.php$` 转发给 CGI 的历史遗留规则
– 对后台入口做 IP 白名单

## 一个提醒

这次 CISA 的 3 天时限说明漏洞已被大规模武器化。**升级补丁只是第一步**——如果你的服务器在这波攻击窗口内裸奔过，升级前先按第 2 步查一遍后门，否则补完丁后门还在。