10月21日深夜，OpenAI发布一则公告：在大语言模型GPT 5.6 Sol的协助下，PHP被发现存在“严重漏洞”，该消息随后得到PHP基金会证实。工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）把它定级为“超危”：未经身份验证的攻击者可利用两个远程代码执行漏洞，造成服务器受控、敏感信息泄露。波及面接近整个互联网——安全公司Wiz估计，该漏洞可能影响约70%的互联网，而且已在代码里潜伏了十余年。一句话：全球大多数网站的底层语言裂开了一个RCE大口子，它威胁的不是你的设备，而是网站本身——以及注册在上面的每一个账号。环球网财联社知乎
这起漏洞不会直接感染手机和电脑，PHP跑在网站服务器上，风险集中在“你在用的网站”。更麻烦的是，攻击者不开shell也能得手——直接把服务器进程内存里的密码、token和API key读走。而且被入侵的网站照样能正常访问，你察觉不到，只能等事后通报。知乎
日本游戏巨头卡普空已经给出第一个实证：10月23日其确认CAPCOMID会员服务因PHP安全漏洞遭第三方非法访问，约1177万4247件用户的电子邮箱地址和系统识别信息泄露。如果你的邮箱注册过这类服务，接下来收到的“安全通知”未必安全。17173游戏网
第一件：改密码，先从“一处失守、处处失守”的账号改起
工信部NVDB在风险提示里点名建议用户及时修改账号、口令等凭证。但改密码要讲顺序。免认证RCE意味着攻击者可以成批拿走未修复网站的数据库，而密码复用会把“一个网站失守”放大成“所有账号一起失守”。邮箱优先——它是绝大多数网站重置密码的入口，卡普空这次泄露的上千万个邮箱地址，正是下一轮撞库攻击的原料。其次是论坛、博客、中小电商和各类老旧政企门户账号，这些领域PHP密度最高、修复最慢；大站有专职运维连夜打补丁，拖得最久的恰恰是跑着老版本PHP的小站。财联社
第二件：改完密码，踢掉“看不见的登录态”
这类漏洞偷走的不只是密码，还有token：token泄露意味着你没改过任何密码，别人却已经“是你”地登录着。所以改完密码后要做三件事：在邮箱、社交、网盘账号里使用“退出所有设备”并强制重新登录；检查信任设备列表和近期登录记录，清掉陌生设备；绑定资金或重要资料的账号一律开启两步验证，让单个密码不足以进门。如果你在这些网站的开发者平台申请过API key，同样撤销重发。
第三件：修补丁的窗口期，警惕“第二波”
攻击来得比舆论更早：亚马逊威胁情报团队发现，黑客在官方披露前几天就已开始尝试利用该漏洞。公告发布后不到一天，Cloudflare就观测到数百万次入侵尝试，各方被敦促尽快完成更新。而网站恢复健康的周期比想象长——连富士instax中国官网都明确公告，因PHP漏洞暂时关停维护至10月26日（暂定）。这段时间里，凡是邮件、短信催你“立即改密码”的，不点链接、不在里面输旧密码，一律用官方App或自己访问官网核实；未修复的中小网站暂缓大额支付和敏感信息填写。知乎环球网财经网
这次事件不会到此为止。OpenAI自己已经透露，这两个只是开胃菜，另外几项重大漏洞还在排队抢修中。“网站出事、用户买单”的剧本还会反复上演，而改密码、清登录态、防钓鱼这三件事，花不了半小时，是普通用户此刻能做的全部。新智元
