先把“危险”的口径说清：截至10月24日，并没有70%的网站真的被黑。它指向的是10月21日集中披露的一组PHP高危漏洞，两个漏洞编号为CVE-2026-109618、CVE-2026-109619，业内代号“PHP2Shell”，CVSS评分均为9.2分。漏洞的可怕之处在于门槛极低：未经认证的攻击者即可完全控制服务器。而“全球70%网站危险”的依据是PHP的使用广度——业界估算，全球约七成网站的架构基于PHP，它们都处在这一漏洞的理论威胁范围内。至于标题里的“避坑”，最大的一个坑恰恰是：装安全插件不等于修好漏洞，真正的根解是升级服务器端的PHP版本。知乎知乎界面新闻
PHP官方已在10月21日放出8.5.12、8.4.27、8.3.36、8.2.35四个安全版本，覆盖当前维护的PHP分支。知乎
挖出这个潜伏多年漏洞的方式，本身就是本轮事件的最大变量：OpenAI公开了这场横跨多家机构的协调披露行动，GPT-5.6-Sol从全球70%网站都在用的PHP语言里挖出了两个致命漏洞，安全公司Wiz与Calif同日联合披露。OpenAI还预计，类似漏洞在未来几个月数量会剧增。知乎36氪
10月22日，工信部网络安全威胁和漏洞信息共享平台（NVDB）发布防范PHP远程代码执行超危漏洞的风险提示，同日有媒体报道黑客已开始“携AI”对网站批量攻击、多国政府网站紧急下线。第一财经第一财经
海外同样紧张：韩国政府因该漏洞上调了网络安全警报级别，日本多个网站暂停服务。另据路透社消息，Cloudflare监测到的全球相关网络攻击尝试已达数百万次。第一财经第一财经微博
对普通站长来说，第一步不是装插件，而是确认自己服务器的PHP版本：宝塔面板看“网站→PHP版本”，WordPress站点走“后台→工具→站点健康→信息→服务器”查版本，自建服务器直接运行`php -v`，低于修复版本就升级到8.5.12、8.4.27、8.3.36、8.2.35及以上。外贸建站圈的站长们在讨论中反复提醒：“更新主题和插件解决不了，必须升级服务器端PHP。”网站显示“插件已是最新版”，和服务器是否修好，是两回事。哔哩哔哩小红书小红书
Wordfence（WordPress安全插件，免费版）——很多站长把它当作WordPress站点被黑后的第一排查工具，它的免费功能就包括网站防火墙和恶意软件扫描，可防止暴力破解密码、检查文件更改和进行漏洞检查，活跃安装量超过五百万。避坑提示：实时性更强的高级防护依赖付费版，且社区有用户反馈全盘扫描偶尔在低配服务器上卡住失败，建议安排在低峰时段、只勾选必需扫描项。哔哩哔哩知乎知乎
Sucuri Security（安全扫描插件，免费版）——免费版定位是“体检与取证”：扫描恶意软件、检查网站是否被列入黑名单、核对文件完整性，还可用MainWP这类免费工具把多个站点集中管理、批量扫描。升级补丁前后各扫一遍，判断有没有被挂马的痕迹，比“猜测没事”可靠得多。但要注意：它更出名的网站防火墙是一项云服务（付费开通），免费版负责“发现问题”，不负责“挡在门外”。哔哩哔哩知乎
Cloudflare免费版（站点外围防护）——不是每个网站都用WordPress，把域名接入Cloudflare后，免费版就能创建WAF自定义规则和速率限制，把URI路径包含/.env、/wp-login.php、/xmlrpc.php、/.git/的自动化扫站请求直接拦截，同时隐藏源站IP、缓解基础DDoS攻击。一位被高价高防伤过的站长的总结很直白：DDoS防护有点贵（1年150万），而这类免费的前端方案不用白不用。避坑提示：免费版可创建的自定义规则数量很少，优先挡住最常见的扫描路径即可，不必追求企业级策略。哔哩哔哩知乎
三款免费工具解决的都是“发现攻击”和“减少攻击面”，替代不了官方补丁——只要PHP版本没升上去，攻击面就一直存在。反过来看，挂马跳转、快照劫持这些老问题，多数是“长期不升级+零备份”的复合结果：有站长复盘，被黑后才想起没做好备份，病急乱投医，只能付费找修复专家。也有普通用户发现自己的网站突然跳到了一个非法赌博网站，研究后才知道被黑客动了手脚。而这次事件给出的长期信号是：当AI开始把潜伏十余年的底层缺陷一个个翻出来，据36氪观察，一个“存在感太低所以安全”的时代结束了。知乎知乎36氪
