PHP两项远程代码执行漏洞在补丁发布前4天即遭利用，公开后15分钟内爆发批量攻击，45分钟达数万次，当日超百万次；漏洞无需认证、载荷易构造，Apache+mod_php及启用文件上传的站点风险最高，应立即升级并重启服务。
公开后15分钟内就出现了批量攻击。
Cloudflare 在漏洞正式发布（UTC 时间 10 月 21 日 14:00）后立即监测到攻击激增：
- 发布后 45 分钟内，利用尝试升至数万次；
- 2 小时内达数十万次；
- 当日即突破数百万次。
更关键的是，批量攻击其实早于公开披露：
- AWS MadPot 蜜罐在 10 月 17 日（比披露早 4 天）就捕获到首次利用；
- 10 月 21 日 凌晨 02:00–08:00（UTC），多个匿名化出口 IP 同步发起不同载荷的攻击，表明已进入多团伙并行扫描阶段；
- PoC 代码在 embargo 解除前（10 月 21 日 02:00 左右）就已在 Telegram、GitHub 等渠道传播。
也就是说，不是“公开后才开始”，而是“公开即引爆”，真实窗口期极短——从补丁上线到第一波全网扫描，基本没有缓冲时间。
立即学习“PHP免费学习笔记（深入）”；
为什么这么快
漏洞本身无需认证、不依赖业务逻辑，一个 multipart/form-data 请求就能触发；
攻击载荷构造门槛低，PoC 开源且适配主流部署（mod_php、PHP-FPM 均可利用）；
大量自动化扫描器（如 masscan + 自定义 exploit）在补丁发布瞬间完成规则更新并开跑。
哪些场景最危险
使用 Apache + mod_php 的站点：攻击可在应用代码执行前完成，WAF 和 CMS 更新完全无效；
启用 session.upload_progress 或处理文件上传的 PHP 服务：这是当前主流利用路径；
未暴露 PHP 版本但运行 PHP 5.4–8.5 任意旧版本的服务器：占比超七成，极易成为盲扫目标。
现在该做什么
立刻执行 php -v，确认版本是否低于修复线（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）；
升级后必须 重启 Web 服务进程（仅 reload 不生效，因漏洞驻留在常驻 worker 内存中）；
若暂无法升级，可临时禁用 upload_progress、限制 multipart 请求大小、关闭不必要的上传接口，但这些只是权宜之计。
