10月22日（周三）有消息称PHP存在可被黑客利用的漏洞时，大多数人从未听说过这种编程语言。根据AJ Vicens的报道，PHP支撑着大约70%的网站，这一披露让企业和安全团队措手不及。如果你想知道这个PHP漏洞是怎么回事、该如何保持安全，简短的答案是：最有效的防护发生在你这一端，而且很简单。
关于我们所知情况的说明：源文章可获取的文本很简短，而且它把这则新闻放在关于AI加持黑客攻击的更广泛讨论之中。我们不会在已报道内容之外揣测该漏洞的技术细节。我们能做的是解释为什么这样的漏洞对普通用户很重要，以及哪些习惯可以降低你的风险敞口。
为什么PHP漏洞会波及普通用户
PHP是一种服务器端语言。它在网络服务器后台运行，生成你登录、购物或阅读新闻时看到的页面。你从不安装它，也从不看到它，但如果你使用的网站运行在它之上，PHP中的弱点就可能变成该网站的弱点。
这就是影响范围如此之广的原因。根据报道，PHP支撑着大约70%的网站，受影响的群体包括小企业网站、在线商店、博客，以及你可能有账户的各种服务。修复问题主要是网站所有者和托管服务商的工作，他们必须应用补丁。你无法给别人的服务器打补丁。
你能控制的是，一个被攻陷的网站可能对你造成多大损害。如果你使用的网站被入侵，问题在于：你的密码是否在其他地方也能用、仅凭被盗的登录信息是否就足以进入、以及你是否会被随后常来的后续诈骗所骗。
AI如何加速黑客攻击和诈骗
文章的标题指向AI加持的黑客攻击，这种担忧很容易理解。自动化工具可以帮助攻击者更快地扫描存在漏洞的网站，并大规模制作更有说服力的信息。一封曾经因措辞笨拙而露馅的诈骗邮件，现在可以读起来很通顺。
源文章包含一个针对诈骗者手法的部分，其中包括关于未经请求的链接的警告。实际的教训是：你不能再依赖识别糟糕的语法或明显的错误。相反，要依赖流程：在采取行动之前核实信息的来源。
保护自己的五个实用步骤
这些习惯是通用最佳实践，而不是对文章确切清单的复述，因为我们无法完整获取该清单。它们针对的是此类漏洞所造成的风险敞口。
- 保持软件更新。 为你的操作系统、浏览器和应用程序开启自动更新。如果你自己运营网站或在PHP上运行WordPress式博客，请及时更新平台、插件和PHP版本，或请你的托管商确认他们已打补丁。
- 警惕未经请求的链接。 不要点击意外收到的电子邮件、短信或消息中的链接，即使它们看起来很熟悉。自己输入网站地址，或使用已保存的书签。
- 为每个账户使用唯一密码。 如果一个网站被攻陷，唯一密码可以防止损害蔓延。密码管理器让这件事变得可行。
- 开启双重身份验证（2FA）。 即使密码泄露，第二步验证也会让攻击者更难进入。验证器应用或硬件密钥通常比短信验证码更强。
- 警惕后续诈骗。 在广泛报道的漏洞之后，要预料到会有冒充你所用公司的“安全警报”消息。请直接访问公司的官方网站或应用，而不要使用提供的链接。
VPN能防什么、不能防什么
VPN会加密你的设备与VPN服务器之间的流量，这在公共Wi-Fi上很有用，因为同一网络上的其他人本来可能窥探你的活动。它还可以向你所访问的网站隐藏你的IP地址。
它做不到的是修复网站代码中的漏洞。如果运行存在漏洞的PHP的服务器被攻陷，你设备上的VPN并不能改变这一点。它也无法阻止你在钓鱼页面上输入密码。把它看作有限的一层防护，而不是抵御此类问题的盾牌。若要了解加密和隐私工具为何仍是政策争论的焦点，请参阅我们的报道：批评者称Chat Control 2.0仍威胁欧盟加密。
这对你意味着什么
你不需要懂PHP也能降低风险。这一披露主要提醒你：你的账户存在于你无法控制的服务器上。假设任何网站某天都可能被入侵，并把你的账户设置成：一旦被入侵，那只是不便，而不是灾难：唯一密码、2FA，以及对意外链接保持怀疑。
今天就开始行动
如果读完后你什么都不做，那现在至少做这三件事：安装待处理的更新，为你的电子邮件和银行账户开启2FA，并更换任何重复使用的密码。在PHP漏洞之后保持安全，归根结底取决于这些日常习惯。如果你经常在公共Wi-Fi上连接，可以使用VPN，但要把它视为多层防护中的一层，而不是万灵药。
