孟加拉国网站在收到PHP2Shell警告后依然易受攻击：国家互联网应急中心（CIRT）

该机构特别强调要准确评估风险：运行过时的PHP版本并不意味着系统遭到了攻击，因为实际风险取决于所使用的版本、是否应用了安全补丁、系统的配置方式以及对外部网络的暴露程度。不过，该机构敦促各组织立即采取措施保障面向互联网的系统安全：检查面向公众的应用程序、服务器、容器和托管环境中运行的PHP版本；将易受攻击的版本升级至安全版本；应用经过验证的补丁；并将不受支持的版本替换为仍在维护的版本。

对于无法立即安装补丁的组织，CIRT建议采取应急措施：通过虚拟专用网络限制公众访问、仅允许来自授权IP地址的连接，或消除不必要的互联网暴露——同时强调，临时访问限制能降低风险，但无法替代安全更新。各组织还应检查服务器日志，查找可疑请求、异常进程、未经授权的文件更改及异常外发连接；使用托管或共享托管服务的组织应与供应商合作，确保PHP版本得到更新；已应用补丁的组织则需核实其生产环境是否运行最新版本。警示特别指出，各组织不应等到安全事件发生后才采取补救措施，并敦促此前收到通知的组织立即行动。即使应用由第三方托管或管理，安全补救责任仍由各组织自身承担。

💥 已造成的损失

🔒 该漏洞已经破坏了全国范围内的数字服务。孟加拉银行在昨天上午8点重新启用网站，之前网站已关闭两天半。周六清晨，孟加拉六家银行网站关闭——IFIC银行、标准伊斯兰银行和SBAC银行在傍晚恢复正常，而阿格尼银行、人民银行和孟加拉商业银行直到周日仍然无法访问。孟加拉土地部门在10月22日午夜后，根据孟加拉国家计算机紧急响应中心（CIRT）建议，暂停了land.gov.bd的数字服务约36小时。

🔧 技术细节解释了紧急性。PHP2Shell漏洞可能允许攻击者在未经过身份验证的情况下，在受影响的服务器上运行恶意代码，研究人员警告称攻击者可能能够访问网站存储的数据，包括密码、身份验证令牌和API密钥。由于漏洞影响的是PHP本身，而不是单个网站代码，应用程序即使开发者遵循良好的编码实践，仍然可能面临风险——这是罕见的漏洞类别，技巧无法提供保护。PHP在10月21日发布了紧急修复，但10月23日公布的相关漏洞也影响了已修复的版本，并需要在下一次常规更新中再次更新。威泽（Wiz）安全研究人员估计全球约70%的网站可能受到影响，英国、荷兰、法国、丹麦和芬兰等政府也为防范而暂停了在线服务。

治理困境加剧技术挑战

对于孟加拉国而言，本次警报中最引人注目之处并非漏洞本身——每个国家都会面临此类问题——而是暴露出的沉默应对：多个机构在数日前接到国家CERT通知，却迟迟未作出回应，或未能通过公开的高危漏洞警报确认补丁部署。这种信息鸿沟折射出该国在网络安全治理中的深层矛盾：检测能力尚可，补丁执行却滞后。每当某个机构将CIRT建议书视为参考资料而非行动指南时，全球性的软件问题便演变为本地化的制度漏洞。

随之而来的问责困境值得关注：孟加拉国电子政务CIRT是否会采取升级措施——比如点名违规机构、协调上级部门、要求提交认证修复报告——还是会在下次漏洞出现时重蹈覆辙？过去一周，孟加拉央行与六家商业银行宁愿选择无视漏洞的沉默应对，也不愿主动披露未经验证的安全风险；那些仍在运行不受支持的PHP版本的机构，正把隐蔽性当作虚拟的保护伞。警报最后的警示——补丁部署不能等到事后补救——正是针对这些机构发出的；而下周的数据将揭示其警示效果是否能转化为实际行动。