PHP「PHP2Shell」漏洞公开后，荷兰、德国、日本等多国政府机构与大型服务紧急采取预防性下线措施。与此同时，Node.js 与 eMudhra 证书问题也在同一时间段引发关注。对普通用户来说，这次问题主要出在网站服务器端，不在手机或电脑本身，通常不需要额外安装软件，但接下来几周浏览网站时需要更谨慎。
PHP2Shell 为何引发大范围下线
报道提到，这次两项漏洞合称「PHP2Shell」，PHP 官方安全公告将其评为重大漏洞，CVSS v4.0 评分为 9.2，满分 10。漏洞类型属于远程代码执行（RCE），攻击者无需登录，就可能在网站服务器上执行自己的程序。
问题出在 PHP 本身，而不是某个插件。WordPress、Drupal 等系统都建立在 PHP 之上。按 W3Techs 统计，约七成已知服务器端语言的网站使用 PHP。修补版本在 21 日晚间接近 10 点发布，但漏洞细节在前一天已经外泄，攻击工具也已流出，一些来不及完成修补的平台因此先选择关闭网站。
多国机构与大型平台先行离线
美国网络安全和基础设施安全局 CISA 建议，无法立即更新，或仍在使用 PHP 8.1 以前版本的组织，先让 PHP 系统离线。英国 NCSC 与欧盟 CERT-EU 也给出相同建议。
日本首相高市早苗 21 日晚间也在 X 发文，称在难以及时修补的情况下，「暂时停止网站」也是降低风险的有效方法之一。
据路透整理，荷兰多家机构跟随国家网络安全中心建议下线，包括鹿特丹港、政府入口网站 Overheid.nl、五大政党网站和多家医院，数字身份登录服务 DigiD 也暂停。德国联邦 IT 服务商 ITZBund 关闭了数个网站，法国内政部关闭各省政府网站，比利时外交部、芬兰政府对外服务和捷克政府网站也先后下线。
维基百科母公司维基媒体基金会表示，所有使用 PHP 的系统都受到影响，已先关闭部分系统。
民间服务同样受到波及。瑞士主机商 Cyon 下线客户入口、网络邮件和所有代管网站，讨论版 4chan 与电竞百科 Liquipedia 也一度无法访问。日本的 pixiv、niconico、电子书店 BOOK☆WALKER，以及《宝可梦 Sleep》《赛马娘》等游戏紧急维护，多数停到 22 日清晨才恢复，任天堂也暂停了部分服务。
这些措施大多属于预防性下线。报道提到，多数官方机构表示没有发现入侵迹象，芬兰方面称未发现攻击尝试。台湾方面，数字发展部资安署在 22 日凌晨呼吁使用 PHP 的机关、学校和企业尽快确认版本并完成更新。
是否已经出现攻击，业内说法并不一致
关于漏洞是否已被实际利用，不同机构给出的说法并不完全一致。
- Cloudflare 技术长表示，在修补发布前就已经看到早期攻击。
- watchTowr 的 Jake Knott 称已有攻击尝试，并表示「到目前为止还没有人成功，但我们不认为这会持续太久。」
- Patchstack 仅观察到探测性攻击。
- CISA 在发布警报时表示，尚未观察到漏洞被利用。
- Sansec 则预计大规模攻击会出现。
普通用户这几周上网要注意的 5 件事
WordPress 插件开发商 Meow Apps 提醒，网站一旦被入侵，攻击者常会把访客重定向到诈骗网站，而且经常只针对「从 Google 点进来」或「使用手机浏览」的访客，站长自己未必看得到。报道认为，风险不会在补丁发布当天结束，接下来几周需要把几项习惯固定下来。
1. 不要点击邮件里的「紧急更新」或「重设密码」链接
blue News 提醒，诈骗团伙很可能借这类安全新闻发起钓鱼攻击。凡是要求安装「紧急安全更新」的邮件，可以直接删除。CISA 也提醒，如果需要改密码，应自行打开官网或 App 操作，而不是点击邮件中的链接。
报道同时提到，主机商也可能发送修补进度通知，因此更稳妥的做法是不点邮件里的链接，自己登录官网确认。
2. 常用网站打不开时，先等官方公告，不要搜索「替代网址」
如果常用网站暂时无法访问，报道建议先等待官方说明，不要急着通过搜索引擎寻找替代入口，以免误入仿冒网站。
3. 遇到要求下载「浏览器更新」或让你粘贴指令的页面，立刻关闭
常见手法包括伪造「浏览器需要更新」页面、伪造「验证你是真人」并要求粘贴指令，或者把付款页面替换成假的页面。报道指出，这些做法并非这次事件中已确认发生的情况，但类似访客受骗案例确实存在。文中举例称，迷因币 PEPE 官网过去就曾被植入盗币程序代码。
4. 在不熟悉的小型网店结账时，优先使用有实时交易通知的信用卡或第三方支付
Sansec 指出，WooCommerce 等电商网站即便自身程序没有问题，也在这次风险范围内。报道建议，接下来几周在陌生小型网店付款时，优先选择带实时交易通知的信用卡或第三方支付，并留意后续账单变化。
5. 重要账号开启两步验证，每个账号使用不同的强密码
资安公司 Wiz 演示称，即使不取得执行权限，也能读取 PHP 执行程序的内存，其中可能包含密码、登录权杖和 API 密钥。这意味着，未修补的网站可能泄露用户登录资料。
CISA 建议为重要账号开启两步验证，并为每个账号设置不同密码。blue News 也提醒，如果未来几天有服务公告发生数据泄露，应立即修改对应账号密码。
交易所和钱包用户目前需要关注什么
报道称，目前没有查到交易所或钱包因 PHP2Shell 遭入侵的报告，Kraken 和 Ledger 也没有传出被黑消息。
不过，文中仍给出几项操作建议：进入交易所时尽量使用书签，不要从搜索结果或广告点击；API 密钥可设置 IP 白名单并关闭提领功能；转账前在硬件钱包屏幕上再次核对地址。
对于自行运行交易机器人的用户，报道还提到，应更新 Python certifi 与 Node.js。研究人员 Scott Helme 测试发现，curl、Python、Node、Go 与 Java 都接受了一张伪造的 Stripe API 证书。