全球超過(guò)200萬(wàn)個(gè)項(xiàng)目依賴的PHP Composer，剛剛發(fā)布了兩個(gè)"命令注入"高危補(bǔ)丁。攻擊者能借漏洞在你的機(jī)器上執(zhí)行任意代碼——而你可能連一行惡意代碼都沒(méi)主動(dòng)安裝過(guò)。

漏洞藏在哪？一個(gè)你大概率沒(méi)聽(tīng)過(guò)的驅(qū)動(dòng)里

問(wèn)題出在Perforce版本控制系統(tǒng)（VCS）驅(qū)動(dòng)。Composer用它來(lái)拉取代碼，但代碼在拼接shell命令時(shí)沒(méi)做充分轉(zhuǎn)義。

Nils Adermann在官方安全公告里說(shuō)得直白：「構(gòu)造shell命令時(shí)，數(shù)值轉(zhuǎn)義不充分?！?/p>

翻譯成人話：Composer把外部輸入的數(shù)據(jù)直接塞進(jìn)系統(tǒng)命令，中間沒(méi)加安全過(guò)濾。攻擊者只要構(gòu)造特殊的包元數(shù)據(jù)，就能讓服務(wù)器執(zhí)行他們想要的任何指令。

這不是Composer第一次踩這個(gè)坑。2021年它修復(fù)過(guò)類似的CVE-2021-29472，當(dāng)時(shí)影響的是Mercurial和Git驅(qū)動(dòng)。歷史在Perforce身上重演了。

攻擊路徑：你甚至不需要主動(dòng)安裝惡意包

最麻煩的是利用門(mén)檻。根據(jù)安全公告，風(fēng)險(xiǎn)場(chǎng)景包括：

? 處理不受信任的項(xiàng)目（比如臨時(shí)clone一個(gè)來(lái)學(xué)習(xí)的倉(cāng)庫(kù)）

? 解析惡意的包元數(shù)據(jù)（甚至不需要執(zhí)行安裝）

? 依賴某個(gè)被劫持的間接依賴

Composer會(huì)解析composer.json里的源信息來(lái)顯示版本細(xì)節(jié)。這個(gè)解析過(guò)程就觸發(fā)了漏洞——你還沒(méi)敲下install，攻擊就已經(jīng)完成了。

Perforce在企業(yè)級(jí)PHP開(kāi)發(fā)中用得不算最廣，但金融、游戲、嵌入式領(lǐng)域的老項(xiàng)目里很常見(jiàn)。更危險(xiǎn)的是供應(yīng)鏈視角：你信任的包可能依賴了一個(gè)被篡改的Perforce源，而你完全不知情。

官方應(yīng)急響應(yīng)：比補(bǔ)丁更早的是"物理斷網(wǎng)"

開(kāi)發(fā)團(tuán)隊(duì)在4月10日做了一件事：直接在Packagist.org和Private Packagist上禁用了所有Perforce源的元數(shù)據(jù)發(fā)布。

這是"先止血再手術(shù)"的典型操作。哪怕你還沒(méi)升級(jí)，新上傳的惡意包也已經(jīng)進(jìn)不了主倉(cāng)庫(kù)。

他們還對(duì)兩個(gè)平臺(tái)做了全面掃描：Packagist.org的公共庫(kù)，以及Private Packagist的企業(yè)私有環(huán)境。結(jié)果干凈——目前沒(méi)有發(fā)現(xiàn)利用這兩個(gè)漏洞的現(xiàn)存包。

但"沒(méi)發(fā)現(xiàn)"不等于"沒(méi)有"。安全公告的原話是「目前沒(méi)有野外主動(dòng)利用的證據(jù)」，這是標(biāo)準(zhǔn)的免責(zé)聲明句式。

你該做什么？?jī)蓷l路，沒(méi)有中間選項(xiàng)

第一選擇：立刻升級(jí)。運(yùn)行composer.phar self-update到2.9.6，或者LTS版本的2.2.27。這是唯一被官方稱為「絕對(duì)最有效」的方案。

第二選擇：如果你暫時(shí)不能升級(jí)，只能祈禱。安全專家給的臨時(shí)緩解措施只有一條：等Private Packagist的驗(yàn)證工具更新，用它掃描自有基礎(chǔ)設(shè)施的惡意元數(shù)據(jù)。

沒(méi)有配置開(kāi)關(guān)能關(guān)閉Perforce驅(qū)動(dòng)。沒(méi)有環(huán)境變量能禁用相關(guān)功能。Composer的設(shè)計(jì)哲學(xué)是"約定優(yōu)于配置"，這次在安全場(chǎng)景里成了雙刃劍。

檢查你的版本很簡(jiǎn)單：composer --version。低于2.9.6的現(xiàn)行版，或低于2.2.27的LTS版，都在風(fēng)險(xiǎn)區(qū)。

為什么這件事值得PHP之外的人關(guān)注

Composer的漏洞模式正在變成通用風(fēng)險(xiǎn)模板。Node的npm、Python的pip、Rust的cargo——所有從遠(yuǎn)程源拉取代碼并本地執(zhí)行的包管理器，都面臨同樣的攻擊面：

? 元數(shù)據(jù)解析發(fā)生在安裝之前

? 版本控制驅(qū)動(dòng)的shell命令拼接

? 供應(yīng)鏈上游的間接污染

2024年XZ Utils后門(mén)事件已經(jīng)證明，攻擊者愿意花兩年時(shí)間潛伏在壓縮庫(kù)這種"基礎(chǔ)設(shè)施中的基礎(chǔ)設(shè)施"。Composer的200萬(wàn)項(xiàng)目覆蓋量，對(duì)同類攻擊者來(lái)說(shuō)是個(gè)足夠誘人的目標(biāo)。

這次響應(yīng)速度值得肯定：從漏洞確認(rèn)到全局禁用Perforce發(fā)布，再到補(bǔ)丁上線，節(jié)奏緊湊。但"全局禁用"本身也說(shuō)明問(wèn)題——當(dāng)安全機(jī)制只能靠運(yùn)營(yíng)層面的"拔網(wǎng)線"來(lái)兜底，架構(gòu)層面的設(shè)計(jì)債已經(jīng)積累到一定程度了。

2.9.6和2.2.27的下載量數(shù)據(jù)還沒(méi)公布，但可以確定的是：Composer的安裝基數(shù)里，有大量跑在CI/CD管道和開(kāi)發(fā)者筆記本上的實(shí)例，它們不會(huì)自動(dòng)更新。這些沉默的大多數(shù)，才是真實(shí)的攻擊窗口。