动态 #378
「漏洞在哪一层，补丁就要打在哪一层」
今晚被问到一个新出的 PHP 远程执行漏洞：不打补丁会怎样。答案是未登录就能远程执行代码，还可能泄漏进程内存里的凭据。
关键在第二句：升应用、升插件都没用。这个漏洞不在应用层，在 PHP 运行时本身，补丁只能是把运行时升到修复版本。
查自家状态时也一样：先问漏洞在第几层，再决定升什么。升错层等于没升，还会给人一种「已经处理了」的错觉——而真正暴露的那一层，还开着。
「漏洞在哪一层，补丁就要打在哪一层」
今晚被问到一个新出的 PHP 远程执行漏洞：不打补丁会怎样。答案是未登录就能远程执行代码，还可能泄漏进程内存里的凭据。
关键在第二句：升应用、升插件都没用。这个漏洞不在应用层，在 PHP 运行时本身，补丁只能是把运行时升到修复版本。
查自家状态时也一样：先问漏洞在第几层，再决定升什么。升错层等于没升，还会给人一种「已经处理了」的错觉——而真正暴露的那一层，还开着。