我的数据安全吗？PHP漏洞对您意味着什么

PHP 编程语言中一个严重的网络安全漏洞已使数百万个网站面临风险。这将对您的个人信息产生什么影响？您又该如何应对？

简而言之：我的数据安全吗？

对于您日常使用的绝大多数大型服务，答案几乎可以肯定为“是”。银行、电子邮件提供商和大型网店都设有专门的安全团队，其职责就是迅速应对此类警告；此外，许多服务还部署了Cloudflare等防护方案——该服务早在该PHP漏洞公开前九小时就已实施了防护措施。

对于其他所有网站，诚实的答案是：这取决于具体网站，而您无法从外部判断。您面临的风险归根结底取决于一个您无法自行核实的问题：您使用过的每个网站的运营方是否及时修复了服务器？

这听起来令人担忧，但你可以采取许多措施来确保，即使某个网站遭到入侵，损害也仅限于此。这就是本指南后续内容要探讨的。

PHP漏洞的本质及其被攻击的速度

PHP 编程语言默默支撑着全球大量网站的页面生成，其中包括绝大多数使用 WordPress 搭建的网站。10 月 21 日，其开发者宣布发现了一个被昵称为“PHP2Shell”的严重网络安全漏洞，并发布了修复补丁。作为协同应对措施的一部分，Cloudflare 早在九小时前就已部署了防护措施。

原计划是等到修复程序准备就绪后再公布细节。但这一计划未能奏效：消息提前一天泄露，犯罪分子迅速采取行动。

互联网基础设施公司 Cloudflare 的负责人马修·普林斯（Matthew Prince）在 X 上发文称，在该漏洞公开宣布前的 10 小时内，该公司在其网络中监测到“数千次”利用 PHP 漏洞的尝试。“在公告发布后的 45 分钟内，这一数字激增至数万次。”（来源：BBC 新闻直播）

亚马逊表示，他们甚至更早——在公告发布前四天的10月17日——就已发现此类攻击企图。换言之，这绝非理论上的风险。攻击者正在积极尝试利用该漏洞。

攻击者实际上能做什么

这并非一个仅仅会导致网站瘫痪的漏洞。萨里网络安全中心的艾伦·伍德沃德教授在BBC广播4台的《今日》节目中表示，这些漏洞意味着攻击者可以“将自己的代码植入Web服务器”，并“基本上为所欲为”。

他表示，这可能包括：

• 窃取网站持有的个人数据；
• 渗透到网站后端网络的其他部分；
• 植入后门——一种隐蔽的回溯通道，以便日后再次入侵。

就影响范围而言，他将其描述为“非常严重”，称可能影响“约3000万个网站”。

那个“后门”问题对你至关重要。一个今天安装了补丁的网站，此前几天可能已被入侵。亚马逊的研究人员建议从10月17日开始调查，而不是从公告发布之日起。因此，某些数据泄露事件可能要过几周才会被发现。

您的哪些数据面临最大风险

攻击者能窃取哪些信息，取决于各网站存储了您的哪些数据。通常包括：

• 账户信息：您的姓名、电子邮箱地址、电话号码，有时还包括家庭住址和出生日期。
• 您在该网站上的密码。管理良好的网站会以加密形式存储密码，但较旧或疏于维护的网站可能并未采取加密措施。
• 订单和消息记录：您购买了什么、寄往何处、您写了什么。
• 您今后输入的信用卡信息。大多数商家不会存储完整的信用卡号，但控制服务器的人可以篡改结账页面，从而截取您输入的信息。

风险最大的网站并非那些家喻户晓的大品牌，而是小型网店、俱乐部、论坛和博客——这些网站往往建立于数年前，且极少维护，因为其中许多仍运行着从未获得官方修复的旧版PHP。

如何判断我的数据是否被窃取？

通常你不会立即察觉。未来几周内需留意的迹象包括：

• 收到某公司发来的邮件，称其发生了安全事件（许多国家的法律要求他们必须通知您）；
• 您未曾请求过的密码重置或登录提醒邮件；
• 使用您真实姓名、地址或您实际使用过的网站的诈骗信息；
• 您的邮箱地址出现在“Have I Been Pwned”上——这是一个免费服务平台，会在已知数据泄露事件公开后将其列出。

现在该怎么做

你无法修复他人的网站，但可以限制其中任何一个网站遭入侵时对你的影响。

1. 首先更改您的电子邮件密码，并确保该密码未在其他任何地方使用。您的电子邮件账户可用于重置其他所有账户，因此它至关重要。
2. 停止重复使用密码。如果你在某个小网站上使用的密码也能登录你的银行或社交媒体账户，请立即在重要账户中更改该密码。大多数手机和浏览器内置的密码管理器能让你轻松完成这一操作。
3. 为电子邮件、网银和网购账户开启双重验证（通过短信或应用获取验证码）。这样一来，仅凭被盗的密码就无法登录。
4. 未来几周内请谨慎购物。优先选择知名商家，或通过PayPal、Apple Pay等服务支付，这样商家就无法获取您的信用卡号。请仔细核对银行对账单，留意任何不明交易。
5. 注销不再使用的账户。旧账户越少，个人信息泄露的风险就越低。
6. 对“紧急安全”通知保持警惕。重大新闻往往伴随诈骗。不要点击意外收到的电子邮件或短信中的链接；请自行访问网站。 对于不认识的网站链接，ScamAdviser 等免费检测工具会根据网站运营时间及其他用户的报告等信号给出可信度评分。请将其视为参考意见：它无法告知您一个正规网站是否已被悄然入侵。

无需担心的事项

• 您的手机和电脑。这是网站服务器端的问题。您无需安装任何软件。
• 已下线的网站。地方议会和政府机构在修复漏洞期间会主动关闭网站（如雅虎/PA）。这是谨慎之举，而非遭到黑客攻击的迹象。
• 任何声称要帮你“修复 PHP2Shell”的人。你的设备上没有任何需要修复的地方，因此任何以“保护”你为名，要求远程访问、支付费用或索要密码的人，都是在进行诈骗。

总结

该 PHP 漏洞十分严重，攻击者在数小时内便已利用。但您并非束手无策。您的大部分重要账户均由反应迅速的公司运营，且通过采取上述措施，即使您曾经使用过的小型网站遭到入侵，您的电子邮件、银行账户和资金也依然安全无虞。

不必过分担心你曾经使用过的每个网站是否安全。重点在于确保其中没有任何一个网站掌握着通往其他账户的“钥匙”。

亚当·柯林斯（Adam Collins）是 ScamAdviser 的网络安全研究员，为保护隐私和安全，他使用化名开展工作。在数字安全一线工作四年多以来，他擅长将复杂的威胁转化为可操作的建议。他的使命是：揭露风险信号，让您能够自信地浏览网络。

查看完整简介