PHP 漏洞会导致我的个人信息泄露吗？用户能做什么

MacWindowsiPhoneAndroid更新

漏洞是一个弱点，网站有弱点，不等于你的数据已经被拿走。PHP2Shell 是 PHP 中的两个高危漏洞，PHP 是许多网站使用的语言，官方已于 2026 年 10 月 21 日发布修复。国家互联网应急中心（CNCERT）说，攻击者在特定条件下可以实现敏感数据窃取和远程代码执行。截至 2026 年 10 月 23 日，没有任何官方公告列出受影响的公司或用户名单。

简要回答

不一定。PHP2Shell 是网站服务器上的漏洞，服务器有这个漏洞，不代表有人从上面拿走了数据。按照中国大陆的《个人信息保护法》，发生或可能发生个人信息泄露时，处理者原则上要通知你。在此期间，用不同的密码，开启两步验证，对借泄露之名发来的消息保持警惕。

PHP 漏洞是不是意味着我的数据被偷了？

单凭这一点，不是。英国国家网络安全中心（NCSC）把数据泄露描述为一个机构的信息被盗或在未经授权的情况下被访问。PHP2Shell 是一个弱点，可能让人在没修复的服务器上做到这一点。某个网站到底有没有丢东西，要看那个网站有没有被攻击，这只有运营它的机构才能查清。

截至 2026 年 10 月 23 日，官方机构说过的是：

  • PHP 官方在 10 月 21 日发布了修复版本，要求所有 PHP 用户立即更新。
  • 美国网络安全和基础设施安全局（CISA）10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。
  • 新加坡网络安全局（CSA）在 10 月 23 日更新的警报中说，已有针对这些漏洞的大范围利用尝试的报告。

这些都不是针对某家商店、银行或服务的说法。漏洞本身见PHP 漏洞 PHP2Shell 解读。

我用的网站泄露了，我怎么会知道？

网站运营者应该告诉你。

中国大陆。 《个人信息保护法》第五十七条规定，发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知要写明涉及的信息种类、原因和可能造成的危害，处理者采取的补救措施和你可以采取的减轻危害的措施，以及处理者的联系方式。

新加坡。 个人数据保护委员会（PDPC）说，泄露可能对个人造成重大伤害的，机构要通知受影响的人。

所以正常的途径是机构本身发来的邮件、短信、信件或公告。冒充泄露通知的消息怎么识别，见下面“怎么识别借新闻行骗的消息”。

如果你觉得自己用的某个网站可能受影响，NCSC 建议通过它的官方网站或官方社交媒体账号联系，不要用你收到的消息里的链接或联系方式。问一问有没有发生泄露、对你有什么影响、你还需要做什么。NCSC 提醒，重大泄露之后客服电话可能很忙。

要不要改那个网站的密码？

有理由就改：机构让你改，或者你在别的地方也用了这个密码。NCSC 说，如果你还在用的某个密码出现在可疑消息里，就把它改掉，同时改掉所有重复使用这个密码的账户。

  1. 自己输入网址或打开它的官方 App 进入网站，不要点邮件或短信里的链接。
  2. 在账户的安全设置里修改密码。
  3. 在其他用了同一个密码的地方也改掉。
  4. 每个账户用一个强的、单独的密码。NCSC 建议用三个随机单词组成密码，并说密码管理器可以帮你生成和保存密码。网站提供通行密钥（passkey）的话，NCSC 建议考虑使用。

邮箱密码最重要。NCSC 的安全建议第一条，就是给邮箱设置一个强的、单独的密码。

要不要开启两步验证？

只要有，就开。NCSC 说，密码再强也可能被盗，途径包括数据泄露、重复使用密码和网络钓鱼。两步验证在密码之后再加一道检查，比如短信验证码、身份验证器 App，或者指纹、面容扫描。NCSC 说，即使犯罪分子知道你的密码，两步验证也能帮你把他们挡在账户之外。

先给邮箱开，再给银行和购物账户开。

怎么识别借新闻行骗的消息？

NCSC 说，犯罪分子会在高关注度的泄露事件还在新闻里时借机行骗，即使你的信息并没有被拿走。它的指南提到一类消息，声称“发生了欺诈活动”，要你登录验证账户，里面的链接看起来像真的。

NCSC 列出的迹象有：

  • 听起来很正式的主题，比如重置密码或领取赔偿
  • 一堆技术术语
  • 催你赶快行动

英国信息专员办公室（ICO）提醒，犯罪分子会冒充银行，不确定银行来电是不是真的时，挂掉，再拨打银行卡背面的号码，或者用银行的官方 App 或网站联系。在新加坡，新加坡网络安全局的网站上写着，不确定是不是诈骗时，可以拨打 24 小时 ScamShield 热线 1799。

账户里要检查什么？

NCSC 建议留意有没有别人进过账户的迹象：你登录不了，安全设置被改了，有你不认识的已发送消息，或者有来自奇怪地点、奇怪时间的登录记录。

ICO 还建议查看银行账单，有不认识的交易就联系银行或发卡机构。如果损失了钱，NCSC 的建议是先告诉银行，再报案（在英国是向 Report Fraud 报案）。

更多问题

能查到我的邮箱有没有出现在数据泄露里吗？

NCSC 建议使用 haveibeenpwned.com 这类工具，或者密码管理器和杀毒软件里的类似功能，看看你的信息有没有出现在公开的泄露事件中。查到的结果是它已知的过往泄露，和 PHP2Shell 没有特定关系。

机构一定会告诉我泄露的事吗？

不一定。在中国大陆，《个人信息保护法》规定，处理者采取的措施能有效避免危害的，可以不通知个人；但履行个人信息保护职责的部门认为可能造成危害的，有权要求通知。在新加坡，PDPC 要求在泄露可能对个人造成重大伤害时通知受影响的人。你随时可以直接问机构发生了什么。

觉得机构违法处理了我的个人信息，可以投诉吗？

可以。在中国大陆，《个人信息保护法》第六十五条规定，任何组织、个人有权对违法个人信息处理活动，向履行个人信息保护职责的部门投诉、举报。在其他地方，可以联系网站运营者和当地的个人数据保护监管机构。

我的手机或电脑需要装什么吗？

不用因为 PHP2Shell 装什么。漏洞在网站服务器上，由网站运营者更新。NCSC 的一般建议仍然是给自己的设备安装最新的软件和 App 更新。

银行会因为这件事让我确认个人信息吗？

NCSC 说，银行和其他官方机构不会向你索要个人信息。如果一条关于泄露的消息让你登录或确认信息，请改为通过机构的官方网站或 App 联系它。

来源