简要来说

• PHP 10月21日发布的修复仍是应对 PHP2Shell 的唯一办法，但只有网站管理员安装并重启 PHP 后才会生效。
• Cloudflare 首席执行官表示，漏洞利用尝试已攀升至数百万次；德国联邦信息安全局（BSI）和日本政府则表示，尚未确认任何成功入侵。
• PHP Foundation 表示，它在 2024 年就发现了其中一个漏洞的迹象，并将修复延迟称为“结构性失败”。

在两个 PHP 漏洞引发各国政府紧急下线网站的一天后，修复补丁已经发布，攻击者也在持续猛攻，很多人都在问同一个问题：现在还能放心上网吗，还是应该先躲一躲，等到下周再说？

简短的答案是，互联网并没有崩溃；对大多数人来说，风险更多在于他们访问的网站，而不是自己的手机或笔记本电脑。更长一点的答案则有一些需要注意的例外。

先快速回顾一下：PHP 是支撑约 70% 已知服务器端语言网站后台的软件，而这两个被昵称为 PHP2Shell 的漏洞，允许陌生人在无需登录的情况下接管存在漏洞的服务器。

修复了吗？

那么，这个漏洞利用问题修复了吗？大体上是的。根据发布说明，PHP 在周三发布了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本。PHP 表示：“没有完整的缓解措施，更新是唯一安全的选择。”截至周四，PHP 尚未发布后续补丁。

不过，修复只有在有人安装之后才会生效。PHP 不会自动更新，因此每家托管公司、IT 部门以及独立网站所有者都必须在自己的服务器上手动应用补丁，然后重启软件，修复才会生效。

换句话说，补丁已经发布，但这并不意味着你访问的网站就一定安全。

PHP 8.1 及更早版本已不再获得官方发布，这使得老旧服务器成为薄弱环节；不过，PHP 安全团队也为 7.4、8.0 和 8.1 发布了基础补丁，供自行编译软件的人使用。

真的有人被黑了吗？

攻击者当然在尝试：Cloudflare 首席执行官 Matthew Prince 表示，在公告发布前 10 小时内，其网络看到了数千次利用尝试；公告发布后 45 分钟内增至数万次；两小时内达到数十万次；此后累计已达数百万次。

Amazon 进一步表示，其诱饵服务器在 10 月 17 日就记录到一次尝试，比漏洞公开早了四天。Amazon 首席信息安全官 CJ Moses 写道：“目前仍不清楚攻击者是如何在披露前获得利用信息的。”他还补充说，PHP2Shell “现在已在野外被广泛利用”。

不过，各国政府似乎还没有经历任何成功入侵。德国联邦网络安全机构 BSI 副主席 Thomas Caspers 表示，该机构已经看到攻击，但没有发现这些漏洞被成功利用，并补充说：“看起来比预期更难利用一些。”日本内阁官房长官木原稔也表示，尚未确认有利用这些漏洞的攻击。

有人去拧门把手，和有人真的进了屋子，是两回事，所以这两种说法可以同时成立。数百万次拧门把手、零起确认入室，当然是好消息，但真正的入侵往往是在事后才被发现，而不是实时发现。

为什么没有更早发现？

其实某种程度上已经发现了。PHP Foundation 在周三发布的博客中表示，其 2024 年的安全工作“发现了 CVE-2026-109618 背后 OOM 问题的最初迹象”，也就是其中一个漏洞核心的内存耗尽问题。

该团队提出了“几种相互竞争的修复方案”，但“难以在这些方案之间做出选择，并担心如果选错会带来后果”，基金会称。“如果没有基金会的资助，就不可能让多个人全职处理这个问题。”

基金会写道：“我们不会假装不是这样：这次延迟是一次结构性失败，既源于安全团队的决策流程，也源于资源不足。”基金会还表示，过去需要共识的安全团队，现在将改为多数票决定。对于支撑大部分网络的软件来说，这项安全工作“仍然依赖少数由基金会资助的开发者，以及少量志愿者帮助”，该帖子写道。

为什么有些网站仍然下线？

因为打补丁需要时间，而对于无法立即修补的人来说，“离线”是官方建议。英国国家网络安全中心建议各机构考虑“在系统能够完全缓解之前将其下线”。

周三被迫下线的网站名单很快就变长了。根据 TechRadar 的说法，其中包括维基媒体服务、Orange 在多个国家的网页和应用、32 项英国政府服务、荷兰医院，以及德国联邦 IT 服务提供商 ITZBund。

英国预算责任办公室和爱丁堡市议会网站到周四已经恢复。另一些网站，例如荷兰匿名举报犯罪网站 Meld Misdaad Anoniem，据 DutchNews 报道，周四上午仍处于离线状态。

我需要改密码吗？

至少目前还不需要，因为这次尚未确认有数据泄露与 PHP2Shell 相关。今天把所有密码都改一遍，也无法解决网站服务器仍未打补丁的问题。

真正有帮助的是那些老生常谈的做法：每个账户使用唯一密码，开启双重认证，并留意接下来几周公司是否会发来有关数据泄露的邮件。如果真的收到，立刻更改该密码，以及所有曾重复使用该密码的账户。

网站所有者要做的功课更多，因为打补丁只能关门，却不能告诉你门在关上之前有没有人进来。安全公司 Tag1 建议检查是否出现了你没有上传的 PHP 文件、新的计划任务和新账户，并在任何面向互联网、且运行过受影响版本的服务器上轮换数据库密码和 API 密钥。

那加密行业呢？

币安创始人赵长鹏在 X 上给出了一条简短建议：“也许我有点偏执，但未来几天访问任何网站时都要格外小心。”

他写道：“也许我有点偏执，但未来几天访问任何网站时都要格外小心，因为一些网站管理员并不总是及时更新安全补丁。PHP 作为网页编程语言，报告了两个漏洞（CVE-2026-109618 和 CVE-2026-109619），影响服务器……”

被黑的网页服务器可能会向你展示一个真实网站的假版本，而在加密领域，这通常意味着页面会要求你连接钱包，并批准一笔会把资金掏空的交易。区块链网络本身也许没问题，但它前面的网页可能有问题。

在接下来的几天里，务必反复核对你签署的内容，把常用网站加入书签而不是点击链接，如果你有硬件钱包，就使用它。到目前为止，还没有加密交易所公开报告与 PHP2Shell 相关的入侵事件。

所以，现在安全吗？

今天浏览网页的安全程度，大致和上周一样，也就是说并不完美。真正的风险在于那些尚未打补丁的服务器，而安全公司 Mallory 统计称，大约有 884,000 台面向互联网、运行着没有官方修复的 PHP 版本的主机。

Amazon 对防御者的建议基本上是，这件事还没有结束。“防御者不应假设公开披露日期就是最早的利用日期。”任何自至少 10 月 17 日起运行过受影响版本的服务器都应接受检查，而不仅仅是打补丁。