据Nextgov/FCW报道，Cloudflare报告称已发现数百万次针对广泛使用的网络软件PHP中新披露漏洞的利用尝试。研究人员还警告说，被入侵的网站可能使其访客面临风险，而不仅仅是运营这些网站的人。如果你想知道在PHP漏洞问题上访客应该怎么做，简短的答案是：你无法为别人的服务器打补丁，但如果一个你使用的网站被入侵，你可以限制攻击者能获取的东西。
目前可获得的细节有限，因此本文仅围绕已报道的内容和一般性防护措施展开。
Cloudflare在PHP漏洞利用尝试中看到了什么
根据该报道，Cloudflare观察到了数百万次利用PHP漏洞的尝试。相关报道还描述了全球范围内推动修复措施落地的努力。这种组合在一款广泛使用的软件被公开披露漏洞后很常见：攻击者扫描互联网上尚未更新的服务器，管理员则争分夺秒地应用补丁。
PHP是一种服务器端语言，这意味着它运行在Web服务器上，而不是在你的设备上。这一点很重要，因为它决定了谁需要采取行动。网站所有者和托管服务提供商必须应用更新。访客无法替他们完成这些操作。
我们此前关于10月22日披露的PHP漏洞的解读文章介绍了该语言如何支撑网络的很大一部分，以及为什么大多数人在新闻爆出之前从未听说过它。
被入侵的PHP网站如何使访客面临风险
报道中引用的研究人员警告说，被入侵的网站也可能危及访问这些网站的人。虽然我们所掌握的摘要中没有详细说明这些漏洞的具体攻击路径，但被劫持的网站通常可以通过以下方式影响用户：
- 登录凭据窃取： 如果攻击者控制了一个网站，他们可能能够捕获在其登录页面输入的 Username 和密码。
- 表单数据泄露： 联系表单、结账页面和注册表单可能被篡改，将你输入的内容发送给其他人。
- 恶意重定向或下载： 被入侵的网站可能被修改，将访客推向有害页面或文件，这可能会使你的设备面临风险。
这并不意味着每个PHP网站都是危险的。大多数网站将会被打上补丁，许多网站从未存在漏洞。关键在于，薄弱环节可能是你从未想过的某台服务器，因此为这种可能性做好准备是有帮助的。
VPN能做什么、不能做什么来应对服务器端漏洞
VPN会加密你的设备与VPN服务器之间的连接，并对你访问的网站隐藏你的IP地址。这在公共Wi-Fi上很有用，也有助于限制某些追踪。
它不能修复网站服务器上的漏洞。如果你访问的网站已被入侵，你的流量仍然会到达该网站，你在那里提交的任何内容仍然可能被控制该网站的人看到。VPN也不能阻止你将密码输入被篡改的登录表单。请把它视为一层隐私保护，而不是对服务器端漏洞的防御。
这对你意味着什么
你可能无法判断哪些网站运行的是存在漏洞的PHP版本，而且你也不需要这样做。重要的是在你使用的网站被入侵时减少损害。主要风险是重复使用密码、没有第二重验证步骤的账户，以及延迟得知你的信息已被泄露。这些中的每一项都是你今天就可以控制的。
在网站打补丁期间保护自己的实用步骤
- 为每个账户使用唯一密码。 密码管理器使这变得可行。如果一个网站泄露了你的密码，损害就到此为止。
- 开启双因素认证（2FA）。 即使密码被捕获，第二重因素也会使其更难被利用。认证器应用或硬件密钥通常比短信更强。
- 对敏感表单保持谨慎。 避免在看起来异常、加载奇怪或行为与以往不同的网站上输入支付或个人详细信息。
- 保持浏览器和操作系统更新。 这可以降低恶意页面利用你设备上已知弱点的机会。
- 留意数据泄露通知。 如果一家公司告诉你它受到了影响，请及时更改密码并查看账户活动。
- 让VPN发挥其擅长的作用。 它在不受信任的网络上很有帮助，但不要依赖它来抵消被入侵网站的风险。
底线
据报道的利用尝试激增表明，一旦漏洞公开，攻击者的行动有多快，以及网络中有多少部分依赖于访客永远看不到的软件。对于“PHP漏洞问题上访客应该怎么做”这个问题，最好的答案是让被盗凭据变得不那么有用：唯一密码、2FA，以及关注数据泄露警报。如需一份简明的清单，请阅读我们的指南PHP漏洞后保持在线安全的五种方法，并在网站所有者处理补丁期间将这些步骤落实到位。
