10月21日，PHP官方放出8.5.12、8.4.27、8.3.36、8.2.35四个安全版本，修补的是代号"PHP2Shell"的一组高危漏洞——攻击者不需要任何账号密码，发一个特制请求就可能远程接管网站服务器。这次披露横跨多家机构、由OpenAI牵头协调，对象是两个CVSS 9.2分的未认证远程代码执行漏洞。值得注意的是，一处漏洞正是研究员在GPT-5.6 Sol等AI模型辅助下审计PHP源代码时发现的。微博知乎知乎
先给结论：标题里的"70%"说的是全球有多少网站在用PHP，不是七成网站已被这个漏洞打穿。据W3Techs在10月22日的统计，在所有已知服务端语言的网站里，PHP占69.3%。OpenAI牵头协调这次披露时给出的影响口径，则是PHP驱动着全球约70%的网站。这个漏洞真正的风险面，是这七成之中还没升级、仍在跑受影响版本的站点。而对普通人来说，正常打开网页并不会"被这个漏洞攻击"——它是服务端的缺陷，你遭遇的威胁来自另一个环节：常用的网站一旦被接管，存在里面的账号信息就暴露了。知乎知乎
网站沦陷之后，普通人的信息是怎么被用掉的
PHP官方公告把这组问题定性为引擎层的内存安全缺陷，两个漏洞的CVSS v4.0评分均为9.2。按Wiz的介绍，缺陷藏在PHP引擎处理内存和致命错误后的全局状态里，未经认证的攻击者通过发送特制请求就能在服务器上执行任意代码，与网站自身运行的应用无关。知乎知乎
攻击者接管服务器后能拿走什么，链路并不复杂：站内用户数据库、登录会话、后台数据，包括你的注册邮箱、密码散列和联系方式。Calif实测确认，无需登录即可被打穿的应用有11款，从WordPress、Drupal、Joomla到网页邮箱Roundcube、电商系统Magento，全是普通人日常注册过东西的地方。美国国家安全局、FBI、英国国家网络安全中心及欧盟网络安全机构均敦促网站立即更新或下线系统。微博知乎知乎
它不是"以后可能出事"，是已经在被攻击
判断这次事件的分量，看时间线就够了。安全公司统计，全球超过2260万个存在相关漏洞的暴露实例与互联网连通。补丁正式发布前6小时，Cloudflare已经观测到针对这组漏洞的真实攻击，前一天漏洞细节还曾在安全圈泄露。Wiz方面称，借助前沿AI模型和合适工具，过去需要一个世界级团队花费数月完成的工作，如今一名研究者不到一周就能做到。发现更快、武器化也更快，留给"等网站自己修"的耐心窗口正在变短。微博知乎知乎
普通人必守的5条防线
第一条：给每个常用网站设唯一密码，等站点修复后再改密。攻击者从被接管服务器里最先拿走的就是用户库，一个密码走天下等于一处泄露、处处失守。平时用密码管理器给每个站点生成唯一密码；这次事件里常用的论坛、小商城、博客类PHP站点，等官方宣布完成升级后再改密，且不复用任何旧密码——站点没修好之前改，新密码照样躺在风险里。
第二条：重要账号一律开启两步验证。邮箱、支付、社交账号，凡是支持验证器或短信二次验证的全部打开。这一步直接卡住"数据库泄露→账号被登走"的链条：就算密码随用户库漏出去，攻击者进不去账号。
第三条：事件期间的"账号异常"邮件和私信，一律当可疑处理。Roundcube这类网页邮箱就在实测可被打穿的名单里，攻击者读到你的邮件，就能完美冒充网站发"点击重置密码"的钓鱼信。核对账号状态不要点邮件里的链接，一律自己手动打开官网进入。
第四条：站点维护窗口期，不做敏感操作、不下载页面推送的任何东西。服务器被接管期间，弹窗"安全插件"“浏览器更新”、发票附件都可能是往访客设备里植入恶意程序的入口。常用站点关停或维护的那几天，不付款、不下载文件，恢复操作以官方公告为准。
第五条：清减你留在网站上的信息，浏览器和安全软件保持更新。从邮箱里的注册通知翻起，注销长期不用的老账号；之后非必要不向网站多填手机号、地址。浏览器和系统安全软件保持最新版本，能拦住被接管网站向访客推送的恶意内容。
截至发稿，PHP官方补丁已全部放出，各国站点能否安全恢复，取决于站长升级的速度——这次披露当天，荷兰、芬兰、法国政府网站率先下线，澳大利亚政府网站同样离线，部分站点数小时内未恢复。如果你恰好自己用WordPress等PHP程序建了站或开了店，今天就去核对版本，低于8.5.12、8.4.27、8.3.36、8.2.35的立即升级，拿不准就先临时下线——热搜说的"70%"里就有你。上面五条里，前四条今天就能做完，而且条条都不依赖这次事件本身：密码隔离和两步验证在任何一次数据泄露里都是慢伤药，PHP2Shell只是把旧账又摆上了一回台面。知乎
