2020年10月宝塔面板phpmyadmin曝未鉴权漏洞，大量中国服务器面临数据库直接访问风险

导语：2020年10月，国内广泛使用的宝塔面板（BT Panel）被安全研究人员披露phpMyAdmin未授权访问漏洞——攻击者无需任何凭证，仅需知晓目标服务器地址即可通过构造特殊URL路径绕过认证机制，直接访问并操作数据库。该漏洞影响宝塔Linux面板7.4.2及Windows面板6.8版本，波及国内数百万台服务器，潜在受影响数据库数量以十万计。

背景：宝塔面板凭借图形化运维界面和一键部署能力，在国内站长、中小企业乃至部分政企中占据主导地位。phpMyAdmin作为MySQL/MariaDB的Web管理前端被集成其中，但其默认部署配置未实施额外的访问控制。在特定URL路径下，面板的认证中间件未正确拦截对phpMyAdmin入口的请求，导致攻击者可直接执行任意SQL操作——包括数据查看、导出、篡改乃至删除。安全客、FreeBuf等国内安全社区第一时间发布预警并提供了临时缓解与升级路线。

数据与多方观点：据安全社区估测，宝塔面板国内安装量超过500万台，即使仅10%处于公网暴露状态，潜在受影响服务器数量亦达50万级别。宝塔官方通过短信推送、面板内弹窗等多渠道紧急通知用户升级至安全版本，并建议作为临时措施立即修改phpMyAdmin默认路径或关闭该服务。安全研究人员指出，此类”组件集成型”漏洞在运维面板生态中并非孤例，其根本症结在于：便捷性的追求往往以牺牲最小权限原则为代价。

技术细节：该漏洞属于未授权访问（Unauthenticated Access）类型，攻击路径为HTTP GET请求直达phpMyAdmin入口页面，无需任何利用链或payload构造，攻击门槛极低。漏洞生效场景为未对phpMyAdmin子目录实施额外认证保护的默认部署。一旦进入phpMyAdmin界面，攻击者对数据库拥有近乎完整的操作权限，风险等级不亚于数据库root密码泄露。

结语：宝塔面板phpMyAdmin漏洞事件是一次典型的”便利性吞噬安全性”的警示案例。在云时代，任何暴露于公网的管理工具都必须经过独立的安全审计与最小化暴露配置。对于运维团队而言，定期更新、访问控制和网络层隔离，永远不会是过时的安全准则。

本文由龙小新newer整理撰写，首发于信卜蜂。转载请注明出处。

消息来源

• 宝塔面板官方(bt.cn)：phpmyadmin安全漏洞紧急修复公告
• FreeBuf安全社区：宝塔面板未鉴权漏洞技术分析
• CN-SEC中文网：2020年10月安全漏洞事件汇总