打开被黑的网站会中毒吗？PHP 漏洞对访客意味着什么

MacWindowsiPhoneAndroid更新

PHP2Shell 是运行在网站服务器上的软件的漏洞，不是你手机或电脑上的漏洞。访问一个用 PHP 做的网站，不会让你的设备暴露在这个漏洞之下。访客的风险出现在后面：攻击者控制了网站，改掉了它给你看的内容。

简要回答

2026 年 10 月 21 日公布的 PHP 漏洞影响的是处理网页请求的 PHP，也就是网站服务器。访问网页不会在你的设备上运行 PHP。但 Google 说，被黑的网站可能把访客跳转到有害页面、放上钓鱼页面，或者试图在用户电脑上安装恶意内容。保持浏览器更新，不下载来路不明的东西，登录前看清网址。

网站上的 PHP 漏洞对访客意味着什么？

漏洞在网站的服务器上。PHP 手册解释说，PHP 代码在服务器上执行，生成 HTML 后发送给浏览器。浏览器收到的是结果，看不到 PHP 代码。CVE-2026-109618 和 CVE-2026-109619 的 PHP 公告说，有风险的是处理网页请求的 PHP。国家互联网应急中心（CNCERT）说，攻击者可构造恶意 HTTP 请求，对目标服务器实现拒绝服务、敏感数据窃取和远程代码执行。

各国机构的建议针对的是运行 PHP 的组织：找到它，更新它。对访客来说，只有当你常用的某个网站被人控制时，PHP2Shell 才和你有关，因为那时网站给你看的东西可能会变。

被黑的网站能对访客做什么？

Google 给站长的指南描述了攻击者拿到网站访问权限之后会做的事：

  • 改动现有页面。 Google 说，黑客可能会在网站的现有网页中注入恶意代码。
  • 把你带到别处。 Google 说，注入的代码可能会把部分用户重定向到有害网页或垃圾网页。
  • 加上新页面。 Google 说，黑客会添加新网页，通常用来操纵搜索引擎或企图实施钓鱼式攻击。
  • 试图安装软件。 Google 说，被黑内容可能会在用户的计算机上安装恶意内容。它关于社会工程学的页面还举了一个例子：企图诱使用户安装恶意软件的欺骗性弹出式窗口。
  • 骗你输入密码。 Google 说，钓鱼式攻击网站可能看起来与真实网站无异，黑客也可能窃取正常网站的控制权，用来托管这类内容。

其中好几种，要你自己动手才会生效，比如接受一个下载，或者在假页面里输入密码。下面的步骤就是针对这些时刻的。

浏览器会提醒我危险网站吗？

可能会。各大浏览器都有自己的警告：

  • Mac 上的 Safari 浏览器。 选取“Safari 浏览器 > 设置”，然后点按“安全性”。苹果说，开启“访问欺骗性网站时发出警告”后，如果访问的站点是可疑的钓鱼网站，你会收到警告。
  • Chrome。 Google 说，遇到钓鱼式攻击、恶意软件、垃圾软件或社会工程学网站，Chrome 会显示红色的“危险网站”警告。在电脑上，保护级别在“更多 > 设置 > 隐私设置和安全性 > 安全”下的“安全浏览”里。
  • Microsoft Edge。 微软说，SmartScreen 会根据已报告的网络钓鱼和恶意软件站点动态列表检查你访问的站点，也会检查下载的文件，并显示警报，告诉你该站点已出于安全考虑而被阻止。

这些名单靠网站被举报。微软自己的帮助页面就提供了“报告不安全的网站”选项，用于没被标记的网站。所以没有警告只是没有警告，不能证明网站安全。

访问网站时怎么保护自己？

几个习惯就能覆盖 Google 描述的大部分风险。

  1. 让浏览器和设备保持更新。 英国国家网络安全中心（NCSC）说，及时安装安全更新有助于保护你的设备和账户，设备设置里如果有自动更新就打开它。
  2. 没打算下载的东西不要下载。 苹果建议从 App Store 安装软件，或直接从开发者的网站获取。在 Mac 上，苹果提醒，运行未经签名和公证的软件可能会使你的电脑和个人信息受到恶意软件的侵害。
  3. 输入密码之前看清网址。 苹果的防诈骗页面提醒，有些链接看起来正确，但 URL 与公司网站不符。在 Mac 上，把指针悬停在链接上方查看它的 URL；在 iPhone 上，按住这个链接。拿不准的时候，NCSC 建议通过官方网站直接联系这家机构。
  4. 使用密码管理器。 NCSC 说，密码管理器让你每个服务都能用不同的密码，而且只会在正确的网站上自动填写密码，所以能帮你防范钓鱼。
  5. 开启两步验证。 NCSC 说，即使犯罪分子知道你的密码，两步验证也能帮你把他们挡在账户之外。

已经输入了密码或下载了东西怎么办？

针对具体情况处理。密码方面，NCSC 说要修改所有用了同一个密码的账户，能用通行密钥（passkey）的地方可以改用通行密钥。下载方面，它说如果你有杀毒软件，就做一次全面扫描，让它清理发现的东西。

如果损失了钱，NCSC 的建议是先告诉银行，再报案（在英国是向 Report Fraud 报案）。在新加坡，新加坡网络安全局（CSA）的网站上写着，不确定是不是诈骗时，可以拨打 24 小时 ScamShield 热线 1799。

Failshot 能做什么

Failshot 是 Mac 的“第二层”设备安全（second layer device security），针对的是另一种情况：有人当面使用你的 Mac。你的密码是第一层，Failshot 是密码之后的那一层。它开启时，会给解锁你 Mac 的人拍照，使用 Pro 时还会接着录一段 5 秒的视频，它的窗口会告诉解锁的人这次解锁被拍下了。关闭 Failshot，或从它的菜单里退出，需要 Touch ID 或你的 Failshot PIN 和答案，永远不用你的 Mac 密码。

Mac 应用可以在 macOS 14 或更高版本上免费下载。免费使用。Pro 加上视频、电子邮件提醒和加密保险库。在 failshot.app 可以免费试用 Failshot Pro 7 天：注册时绑定银行卡，除非你取消，否则在第 8 天扣费。iPhone、Android 和 Windows 版即将推出。应用目前只有英文版。

更多问题

访问受 PHP 漏洞影响的网站安全吗？

漏洞在网站的服务器上，PHP 手册说 PHP 在服务器上运行，不在你的浏览器里。访客要担心的是已经被人控制的网站。在那样的网站上，对意外的下载、跳转和登录提示要格外小心。

能看出一个网站用没用 PHP 吗？

没法可靠地看出来。PHP 手册说，网页服务器可以设置成用 PHP 处理所有页面，这样用户就无从得知是否用了 PHP。

网站被黑了，站长自己会知道吗？

不一定。Google 说，网站被黑后，黑客通常可能会伪装真实内容，让网站所有者很难发现被黑内容。所以即使是熟悉的网站，下载和输入密码时也要小心。

PHP2Shell 已经被用来攻击网站了吗？

截至 2026 年 10 月 23 日：美国 CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用，但它们如果不打补丁仍有风险。新加坡 CSA 在 10 月 23 日更新的警报中说，已有针对这些漏洞的大范围利用尝试的报告。CNCERT 说，漏洞技术细节与 PoC 已广泛传播。这些说法都不是说某个具体网站已被攻破。

这会影响我的手机吗？

不会直接影响。PHP2Shell 影响的是处理网页请求的 PHP，也就是服务器，不是手机。被黑的网站在任何设备上都可能显示假的登录页面或弹出下载，所以同样的习惯都适用：更新、看清网址、开启两步验证。

来源