PHP 中的两个错误导致政府争先恐后地拔掉了网站，一天后，修复程序已经完成，攻击者正在努力，很多人都在问同样的问题：我可以放心地使用互联网吗？还是应该躲在床底下直到下周？
简而言之，互联网并没有崩溃，对于大多数人来说，风险在于他们访问的网站，而不是他们自己的手机或笔记本电脑。较长的答案有一些值得了解的注意事项。
快速回顾一下：PHP 是一种在大约 70% 的服务器端语言已知的网站上在幕后运行的软件，这两个绰号为 PHP2Shell 的缺陷让陌生人无需登录即可控制易受攻击的服务器。
固定了吗？
那么，漏洞修复了吗？是的，大部分是。根据其发行说明，PHP 于周三发布了版本 8.5.12、8.4.27、8.3.36 和 8.2.35。 “没有完全的缓解措施，更新是唯一安全的选择。”截至周四，PHP 尚未发布任何后续补丁。
不过，修复只有在有人安装后才有帮助。 PHP 不会自行更新，因此每个托管公司、IT 部门和独立网站所有者都必须在自己的服务器上应用它，然后重新启动软件才能生效。
换句话说，修复已经存在，但这并不意味着您访问的网站一定是安全的。
PHP 8.1 及更早版本不再获得官方版本，这使得旧服务器成为弱点，尽管 PHP 的安全团队为自己编译软件的人发布了 7.4、8.0 和 8.1 的基本补丁。
真的有人被黑了吗？
攻击者确实尝试过：Cloudflare 首席执行官 Matthew Prince 表示，他的网络在发布消息之前的 10 小时内发现了数千次利用尝试，在发布后的 45 分钟内发现了数万次，在两小时内发现了数十万次，此后又发现了数百万次。
#php2shell 的一些统计数据。在公开宣布之前的 10 小时内，通过 @Cloudflare 网络，我们看到了数千次利用它的尝试。公告发布后 45 分钟内，人数跃升至数万，2 小时内跃升至数十万，现在已增至数百万。
— 马修·普林斯🌥 (@eastdakota) 2026 年 10 月 22 日
亚马逊走得更远，称其诱饵服务器于 10 月 17 日记录了一次尝试，即漏洞公开的四天前。亚马逊首席信息安全官 CJ Moses 写道：“目前尚不清楚攻击者如何在披露之前获取漏洞信息”，并补充说 PHP2Shell“现在正被广泛利用”。
然而，政府似乎还没有经历过任何形式的成功闯入。德国联邦网络安全机构 BSI 副总裁托马斯·卡斯珀斯 (Thomas Caspers) 表示，该机构曾遇到过攻击，但没有成功利用这些漏洞，并补充道：“利用这些漏洞似乎比预期的要复杂一些。”日本内阁官房长官木原稔也表示，尚未证实有利用这些漏洞的攻击。
尝试是指有人敲响门把手；违规是指有人进入内部，因此这两种说法都可以同时成立。数以百万计的嘎嘎作响的门把手和零确认的入室盗窃是个好消息，但入室盗窃往往是稍后发现的，而不是实时发现的。
为什么不早点抓住这个？
有点像。 PHP 基金会在周三发布的一篇博文中表示，其 2024 年的安全工作“发现了 CVE-2026-109618 背后 OOM 问题的初步迹象”，这意味着内存不足错误是这两个缺陷之一的核心。
该基金会表示，该团队提出了“几种相互竞争的方法”来解决这个问题，但“很难在这些方法之间做出选择，并且担心做出错误选择会产生后果”。 “如果没有基金会的资助，就不可能让多人全职研究这个问题，”它补充道。
该基金会写道：“我们不会假装：延迟是结构性故障，是由安全团队的决策过程和资源缺乏造成的。”并补充说，其安全团队过去需要达成共识，现在将由多数人决定。根据该帖子，对于运行大部分网络的软件来说，安全工作“仍然依赖于一小群基金会资助的开发人员和一些志愿者的帮助”。
为什么有些网站仍然无法访问？
因为打补丁需要时间，而“离线”是对那些无法立即打补丁的人的官方建议。英国国家网络安全中心告诉各组织考虑“让系统离线，直到完全缓解”。
周三关闭的网站名单很快就变长了。据 TechRadar 称，其中包括维基媒体服务、遍布数十个国家的 Orange 网站和应用程序、32 个英国政府服务机构、荷兰医院以及德国联邦 IT 提供商 ITZBund。
英国预算责任办公室和爱丁堡议会网站已于周四恢复。据《荷兰新闻》报道，其他网站，例如荷兰匿名犯罪报告网站 Meld Misdaad Anoniem，周四早上仍然处于离线状态。
我应该更改密码吗？
不是因为这个，至少现在还不是。到目前为止，还没有确认与 PHP2Shell 相关的数据泄露事件，如果网站的服务器仍未修补，那么今天更改每个密码也无济于事。
真正有帮助的是那些无聊的东西：每个帐户的唯一密码，打开的双因素身份验证，以及注意是否有公司在未来几周内通过电子邮件向您发送有关违规的信息。如果出现，请更改该密码以及您重复使用该密码的任何帐户。
网站所有者有更多的功课，因为修补会关上门，但不会告诉您是否有人先走进来。安全公司 Tag1 建议查找您未上传的 PHP 文件、新计划任务和新帐户，并在运行易受攻击版本的任何面向互联网的服务器上轮换数据库密码和 API 密钥。
加密货币呢？
币安创始人赵长鹏对 X 提出了一条简短的建议：“你可以说我是偏执狂，但在接下来的几天内访问任何网站都要格外小心。”
你可以说我是偏执狂，但在接下来的几天里访问任何网站都要格外小心，因为一些网络管理员并不总是及时更新安全补丁。
针对 Web 编程语言 PHP 报告了两个漏洞（CVE-2026-109618 和 CVE-2026-109619），影响服务器……
— CZ 🔶 BNB (@cz_binance) 2026 年 10 月 21 日
被黑的网络服务器可以向您显示真实网站的虚假版本，在加密货币中，这通常意味着一个页面，要求您连接钱包并批准清空钱包的交易。区块链网络本身可能没问题；它前面的网站可能不是。
在接下来的几天里，请仔细检查您所签署的内容，为您使用的网站添加书签而不是单击链接，并使用硬件钱包（如果有的话）。到目前为止，还没有加密货币交易所公开报告与 PHP2Shell 相关的漏洞。
那么，安全吗？
今天浏览网络与上周一样安全，也就是说并不完美。真正的暴露是在尚未打补丁的服务器上，安全公司 Mallory 统计了大约 884,000 台面向互联网的主机运行的 PHP 版本没有得到官方修复。
亚马逊给捍卫者的建议基本上是，这还没有结束。 “捍卫者不应假设公开披露日期是最早的利用日期。”至少自 10 月 17 日起运行易受攻击版本的任何服务器都应进行检查，而不仅仅是修补。