PHP 5.4老版本漏洞影响哪些系统？四步处置存量风险

摘要：官方支持早已结束，风险却一路跟到现在。老官网、行业系统、外包遗留——三类系统对照自查，四步处置。

PHP 5.4发布于2011年，官方支持早已结束，但安全研究指出，PHP2Shell事件中的一个漏洞从PHP 5.4起的每一个版本都存在——也就是说，系统只要还跑在老版本上，它就在受影响范围里。PHP 5.4老版本漏洞影响哪些系统？常见的情况有这几类。

一类是企业十几年前搭建的老官网、老后台。这类系统搭好之后基本没人再动，操作系统、PHP版本一直停在当年。业务虽然简单，但它连着公网，就是实实在在的暴露面。

一类是依赖老框架的行业系统。部分行业软件锁定在PHP 5.x的运行环境上，升级一次接近于重构一次，厂商不配合，企业自己也不敢动。

一类是外包开发的遗留系统。开发商换了、源代码不全、文档缺失，连升级的技术评估都做不起来。

处置思路可以分四步：步骤一，做资产盘点，把全公司跑PHP的主机、版本、用途列清楚；步骤二，做风险排序，连公网的、带登录的、碰个人信息的排到前面，排序结果写成书面清单、责任到人，避免"都知道要处理、谁都没动手"；步骤三，逐个定策略，能升级的升级，短期升不了的先隔离或下线，同时启动迁移评估；步骤四，对暂不处理的系统补上日志监测和应急预案，把"不知道它出事"变成"出了事能知道"。四步走完，剩余风险清清楚楚，而不是一笔糊涂账。

老系统不等于低风险，没人维护才等于高风险。判断和处置都需要方法论支撑。安言咨询提供老旧系统风险评估与升级迁移咨询服务，协助企业把存量PHP系统的家底盘清楚、处置有次序。

数字安全 关注安言