网站为什么显示“维护中”？PHP 漏洞和紧急修复是怎么回事

WindowsMaciPhoneAndroid更新

国家互联网应急中心（CNCERT）2026 年 10 月 22 日的公告说，暂不具备修复条件的运营单位，应采取网络隔离、网络访问限制、非必要业务系统下线等临时性应对措施。美国 CISA 也说，不能马上更新、或仍在用 PHP 8.1 及更早版本的组织，应该把基于 PHP 的系统下线，直到打上补丁或完成更新。网站下线等待更新，是它显示维护页面的原因之一。本文信息截至 2026 年 10 月 23 日。

简要回答

2026 年 10 月 21 日两个 PHP 高危漏洞公布后，中国、新加坡和美国的网络安全机构都要求尽快更新 PHP；做不到的，CNCERT 和 CISA 建议采取临时措施，包括让系统下线。网站显示维护页面，可能就是网站在做这项工作。等一等，通过网站的官方渠道了解情况，不要在仿冒页面上输入信息。

为什么安全公告出来之后，网站会进入维护？

因为修复要改服务器上的软件，而一时修不好的服务器，下线可能更安全。PHP 是很多网站使用的编程语言，PHP 官方在 10 月 21 日发布了修复版本 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。它的公告说，只有更新才是完整的解决办法，列出的临时措施只能减少特定攻击路径的暴露，并不能让安装变得安全。漏洞本身见PHP 漏洞 PHP2Shell 解读，为什么服务器上的一个问题会牵涉这么多网站，见PHP 是什么。

CNCERT 的公告还说，这些漏洞影响 Magento、WordPress、Drupal、Joomla、MediaWiki、phpMyAdmin、Laravel 等基于 PHP 环境的主流内容管理系统和框架。所以，看起来和 PHP 无关的网站，也可能需要维护。

官方机构建议了什么？

下面几家机构都把更新放在第一位，不同之处在于更新做不到时该怎么办。

  • CNCERT（中国）。 公告建议受影响用户立即升级至最新版本，并通过官方渠道下载更新。它建议信息系统运营单位全面梳理网络资产，按照非必要不上网的原则，缩小公网暴露面；暂不具备修复条件的，采取网络隔离、网络访问限制、非必要业务系统下线等临时措施。
  • CSA（新加坡）。 新加坡网络安全局的警报建议立即更新到最新版本，优先处理面向互联网的系统；不能马上更新的，参考 PHP 官方的临时措施。它还建议组织检查服务器上是否装了 PHP，包括第三方应用或组件用到的 PHP。
  • CISA（美国）。 要求立即打补丁，优先处理面向互联网的系统。不能马上更新、或仍在用 PHP 8.1 及更早版本的组织，应该把基于 PHP 的系统下线，直到打上补丁或完成更新。

常用的网站在维护，我该怎么办？

大多数时候，等着就好。修复是网站运营者的事，你在自己的手机或电脑上装什么，都修不了网站的服务器。

  1. 通过网站的官方渠道看有没有通知，比如它经过认证的社交媒体账号、你本来就在用的 App，或者你预期会收到的邮件。
  2. 需要联系这家公司时，用你本来就信得过的联系方式。
  3. 再回到网站时，自己输入网址或用自己的书签，不要点别人发来的链接。新加坡 CSA 建议，核实邮件或短信里的链接时，看清网站的域名，在电脑上可以把鼠标悬停在链接上，确认它指向的网址。

网站下线期间，要提防仿冒页面吗？

要。CSA 说，网络犯罪分子会冒充银行或物流服务商等可信机构，发送带有紧急或威胁内容的钓鱼邮件，邮件里的链接可能把你带到有“重设密码”或“账户登录”页面的假网站，你在假网站上输入密码，就等于把登录凭证交给了他们。一条消息说你常用的网站“搬家了”，或者让你“维护期间”到别处登录，就值得怀疑。

不要在从意外的邮件、短信或广告进入的页面上输入密码、银行卡号或个人信息。在新加坡，不确定一件事是不是诈骗时，CSA 的网站上写着可以拨打 24 小时 ScamShield 热线 1799。

显示“维护中”，是不是说明网站被黑了？

不一定。维护页面只说明网站暂时打不开，不说明原因。上面的公告要求不能及时更新的组织把系统下线，所以维护页面可能只是表示修复工作正在进行。

如果一家公司发现客户的个人信息受到影响，那是另一回事，有专门的处理步骤。你通常会怎样得知，以及这期间可以做什么，见PHP 漏洞会泄露我的个人信息吗。

为什么恢复要这么久？

官方公告没有说修复要多长时间。PHP 官方的公告说，PHP 8.1 及更早版本已经不再获得 PHP 官方的更新，一些发行版和长期支持（LTS）厂商提供移植的修复，用户可以联系厂商，或者升级到受支持的版本。CNCERT 和 CISA 也都为暂时修不了的情况给出了建议，其中包括让系统下线。

更多问题

维护结束后再访问网站，安全吗？

这些 PHP 漏洞在服务器的软件里，不在你的设备上。更大的问题，也就是被黑的网站可能对访客做什么、要留意哪些迹象，见打开被黑的网站会中毒吗。

这些 PHP 漏洞已经被利用了吗？

截至 2026 年 10 月 23 日：美国 CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用。CNCERT 在 10 月 22 日说，漏洞技术细节与 PoC 已广泛传播。新加坡 CSA 在 10 月 23 日更新的警报中说，已有针对这些漏洞的大范围利用尝试的报告。这些公告都没有给出受影响网站的数量，也不是说某个具体网站已被攻破。

“紧急维护”是什么意思？

PHP 官方和 CNCERT 的公告里都没有“紧急维护”这个说法，这是网站运营者自己的用词。官方机构为 PHP 描述的工作，是更新软件，或者在能更新之前让系统下线。

为什么一次 PHP 维护会影响这么多不同的网站？

因为很多网站跑在同一种软件上。CSA 说这些漏洞影响所有版本的 PHP，CISA 也提醒，PHP 常常是其他软件的组成部分，不一定能直接看出来。所以即使网站没有提到 PHP，也可能需要维护。

网站下线过，我要改这个网站的密码吗？

没有哪份公告因为网站下线就要求用户改密码。如果这家公司通知你账户出了问题，按它通过官方渠道给出的说明去做。

来源