现在已经找到了新的安全性利用，网站所有者将不得不加强防御能力。
基于PHP编程语言的网站，并连接到Nginx Web服务器目前处于危险之中。这是一件大事，不仅仅是3900万个网站在PHP上运行，尽管并非全部连接到Nginx Web服务器。
可怕的部分是利用相对易于执行。即使是非技术用户，也可以遵循这些步骤并通过网站的服务器进行黑客攻击。因此，网络管理员必须认真对待此问题，并且没有机会。
找到脆弱性
安全漏洞是由安全公司Wallarm的Andrew发现的”D90PWN“达瑙。然后，缺点后来被他的两个同事武器武器，Neex和贝格德。两者开发了一个工作完全工作的远程代码执行利用。
10月21日，位于俄罗斯的安全研究员Neex提交了错误报告详细说明利用。
脆弱性使黑客迫使A远程Web服务器通过访问精心设计的URL来执行他们提供的任意代码。这是通过将“？a =”添加到网站地址而完成的，然后是代码。
Zdnet的Catalin Cimpanu笔记这种利用会降低进入任何网站的障碍，从而有可能允许任何人访问弱势网站。
当前正在根据《代码》监视该缺陷CVE-2019-11043由国家漏洞数据库。
如何知道你是否脆弱
并非所有在PHP上运行的网站都是脆弱的，并且并非所有连接到NGINX Web服务器的网站都受到影响。该网站还必须运行PHP-FPM扩展为了利用工作。 php-fpm最常用于高流量网站。
黑客新闻总结了Web所有者可以用来检查其漏洞的清单：
- NGINX配置为将PHP页面的请求转发到PHP-FPM处理器，
- fastcgi_split_path_info指令中存在于配置中，包括以'^'符号开始的正则表达式，并以'符号结尾，
- path_info变量是通过fastcgi_param指令定义的，
- 没有诸如try_files $ uri = 404之类的支票，或者（-f $ uri）确定文件是否存在。
NEEX做出的概念脚本证明还允许用户检查网站是否容易受到利用。因为您可以使用它来检查网站的漏洞，但黑客也可以。建议只跳过这一步骤，并为您的安全增强，无论您的脆弱性如何。
快速修复
值得庆幸的是，修补事情也不需要天才。 PHP7已经知道该问题，因此将其更新到最新版本可以解决该问题。确保您在任一个PHP上运行7.3.11或php7.2.24。当然，无论您的安全风险状态如何，都建议更新您的PHP。
网站所有者也可以设置规则在标准的PHP mod_security防火墙中，以防止黑客到达您的网站。
为什么要担心黑客
黑客对用户构成了真正的威胁，尤其是那些在线交易的人。除了用户名和密码外，黑客还可以访问您可能使用的私人信息，个人通信和其他数据。更重要的是，他们可以访问敏感信息，例如您的信用卡信息，黑客可以根据您的意愿使用这些信息。
一个臭名昭著的安全缺陷是Heartbleed Bug这影响了OpenSSL用户。根据代码进行监控CVE-2014-0160，该错误允许黑客窃取信息，文件和帐户而无需留下跟踪。
因此，对于网络所有者而言，确保其网站很重要，因为他们的责任有责任将用户的信息在其网站上安全地避免黑客。
