現在已經找到了新的安全性利用，網站所有者將不得不加強防禦能力。
基於PHP編程語言的網站，並連接到Nginx Web服務器目前處於危險之中。這是一件大事，不僅僅是3900萬個網站在PHP上運行，儘管並非全部連接到Nginx Web服務器。
可怕的部分是利用相對易於執行。即使是非技術用戶，也可以遵循這些步驟並通過網站的服務器進行黑客攻擊。因此，網絡管理員必須認真對待此問題，並且沒有機會。
找到脆弱性
安全漏洞是由安全公司Wallarm的Andrew發現的”D90PWN“達瑙。然後，缺點後來被他的兩個同事武器武器，Neex和貝格德。兩者開發了一個工作完全工作的遠程代碼執行利用。
10月21日，位於俄羅斯的安全研究員Neex提交了錯誤報告詳細說明利用。
脆弱性使黑客迫使A遠程Web服務器通過訪問精心設計的URL來執行他們提供的任意代碼。這是通過將“？a =”添加到網站地址而完成的，然後是代碼。
Zdnet的Catalin Cimpanu筆記這種利用會降低進入任何網站的障礙，從而有可能允許任何人訪問弱勢網站。
當前正在根據《代碼》監視該缺陷CVE-2019-11043由國家漏洞數據庫。
如何知道你是否脆弱
並非所有在PHP上運行的網站都是脆弱的，並且並非所有連接到NGINX Web服務器的網站都受到影響。該網站還必須運行PHP-FPM擴展為了利用工作。 php-fpm最常用於高流量網站。
黑客新聞總結了Web所有者可以用來檢查其漏洞的清單：
- NGINX配置為將PHP頁面的請求轉發到PHP-FPM處理器，
- fastcgi_split_path_info指令中存在於配置中，包括以'^'符號開始的正則表達式，並以'符號結尾，
- path_info變量是通過fastcgi_param指令定義的，
- 沒有諸如try_files $ uri = 404之類的支票，或者（-f $ uri）確定文件是否存在。
NEEX做出的概念腳本證明還允許用戶檢查網站是否容易受到利用。因為您可以使用它來檢查網站的漏洞，但黑客也可以。建議只跳過這一步驟，並為您的安全增強，無論您的脆弱性如何。
快速修復
值得慶幸的是，修補事情也不需要天才。 PHP7已經知道該問題，因此將其更新到最新版本可以解決該問題。確保您在任一個PHP上運行7.3.11或php7.2.24。當然，無論您的安全風險狀態如何，都建議更新您的PHP。
網站所有者也可以設置規則在標準的PHP mod_security防火牆中，以防止黑客到達您的網站。
為什麼要擔心黑客
黑客對用戶構成了真正的威脅，尤其是那些在線交易的人。除了用戶名和密碼外，黑客還可以訪問您可能使用的私人信息，個人通信和其他數據。更重要的是，他們可以訪問敏感信息，例如您的信用卡信息，黑客可以根據您的意願使用這些信息。
一個臭名昭著的安全缺陷是Heartbleed Bug這影響了OpenSSL用戶。根據代碼進行監視CVE-2014-0160，該錯誤允許黑客竊取信息，文件和帳戶而無需留下跟踪。
因此，對於網絡所有者而言，確保其網站很重要，因為他們的責任有責任將用戶的信息在其網站上安全地避免黑客。
