1 min read
“没有任何模型能仅凭简单的提示就挖出‘所有漏洞’。”这句话来自 Calif，也就是发现上周让所有人忙着打补丁的两个网络漏洞的安全公司。它提醒我们：AI 帮助把一个旧发现变成了可用的攻击，但修复工作仍然要靠普通人做普通的维护。如果你的商业网站运行在 WordPress 上，这周那个普通人就是你。
下面是一份从容的分步清单，专为不懂开发的独立经营者准备。预留大约 30 分钟，遇到看起来很技术的部分，就让 AI 助手帮忙。
用大白话解释 PHP2Shell
PHP 是一种编程语言，WordPress 以及互联网上很大一部分网站都建立在它之上。根据 TechCrunch 对这两个漏洞的报道，大约 70% 面向公众的互联网依赖 PHP。2026 年 10 月 21 日，PHP Foundation 公开了两个严重漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619（CVE 就是已知安全漏洞的公开编号），并在同一天发布了补丁（官方说明见 PHP 新闻存档）。美国网络安全机构 CISA 也同时发布了警报。
这次为什么重要：这些漏洞允许无需密码的远程代码执行，也就是说，网上的陌生人无需登录、无需你点击任何东西，就能在你的网站服务器上运行他们自己的命令。Amazon 在补丁发布前约一周就发现了攻击，因此防御方被建议从 10 月 17 日起排查问题。
好消息是，WordPress 本身不需要为此安装特别的插件更新。修复位于更底下的一层，也就是你的主机商运行的 PHP 软件。你的任务是确认这一层已经更新，然后检查在此之前有没有东西混进来。
第 1 步：弄清楚谁负责你的 PHP
这一个问题决定了有多少工作要你自己来做。
- 托管型 WordPress 主机（你从来看不到服务器，只看到一个控制台）：主机商会替你更新 PHP。你的任务是确认他们已经做了。
- 带控制面板的共享主机（例如 cPanel）：通常由主机商修补 PHP，但你可能需要在“Select PHP Version”或“MultiPHP”页面自行选择版本。
- 你自己的服务器或 VPS（你或自由职业者搭建的虚拟专用服务器）：除非有人运行更新，否则没人会给它打补丁。请当作紧急事项处理。
不确定自己用的是哪种？看看最近一张主机账单。如果上面写着“managed WordPress”，你就属于第一类。
第 2 步：不碰代码，查看你的 PHP 版本
在 WordPress 后台，依次进入工具、站点健康、信息选项卡、服务器。你会看到一行“PHP 版本”。把这个数字记下来。你不需要自己解读它，下一步把它交给主机商即可。
第 3 步：向主机商问一个直接的问题（让 AI 帮你写邮件）
大多数主机商上周都发布了状态说明，所以先去看看他们的状态页或博客。如果找不到明确答复，就给客服发一条简短消息。下面这段提示可以直接粘贴到 ChatGPT、Claude 或 Gemini：
“帮我给主机商写一封简短、礼貌的工单。我的 WordPress 网站是 [域名]。站点健康显示 PHP 版本为 [数字]。请他们书面确认我的服务器是否已安装 PHP Foundation 于 2026 年 10 月 21 日针对 CVE-2026-109618 和 CVE-2026-109619 发布的补丁，以及自 10 月 17 日以来是否在我的账户上发现任何被利用的迹象。”
要求对方书面回答“是”或“否”。“我们非常重视安全”不算回答。把他们的回复和你的业务记录一起保存。
如果你自己管理服务器，提示就要换一下：让 AI 针对你的具体环境（例如某个 PHP 版本的 Ubuntu）解释如何安装最新的 PHP 安全更新并重启网站服务器。然后在执行任何命令之前，先对照服务商的官方文档核实。AI 助手确实会编造命令，这正是我们的AI 幻觉入门指南建议你在采取行动前先核实的原因。
第 4 步：排查 10 月 17 日以来混进来的东西
打补丁是把门关上。它不会告诉你在这之前有没有人进来过。花十分钟做以下检查：
- 用户：打开“用户”，再点“所有用户”，按角色排序。任何你不认识的管理员都是危险信号。
- 插件：查找你从未安装过的插件，尤其是名字含糊或没有描述的。
- 近期改动：如果主机商提供文件管理器，查看主目录中自 10 月 17 日以来被修改、但你没有动过的文件。
- 免费扫描：Wordfence 或 Sucuri 免费扫描器这类安全插件，可以把你的核心文件与干净副本对比并标出差异。
- 用无痕窗口打开你的网站：在未登录状态下访问首页和联系页。意外的跳转或奇怪的弹窗是典型的被篡改迹象。
如果发现异常，先停下来联系主机商，不要急着删除任何东西。在这类事件期间，许多主机商会免费恢复 10 月 17 日之前的干净备份。
第 5 步：让 AI 帮你读懂吓人的部分，但要小心
安全扫描结果和服务器日志是写给工程师看的。这正是 AI 助手真正能帮上忙的地方。把扫描摘要粘贴到聊天机器人里，然后问：“用通俗的话解释每一条警告，按紧急程度排序，并告诉我哪些需要问主机商。”
两条规则保证安全：
- 粘贴前删除机密信息。把密码、数据库名称、API 密钥和客户邮箱从你分享的内容里删掉。
- 把回答当作翻译，而不是结论。AI 可以告诉你某条警告是什么意思。只有主机商或安全专业人士才能确认你的网站是否真的被入侵。
第 6 步：即使一切看似正常，也要换钥匙
由于攻击在漏洞公开之前就已开始，出于预防，值得更换你的各类凭据：
- 你的 WordPress 管理员密码，以及其他所有拥有账户的人的密码。
- 应用程序密码（在“用户”下的“个人资料”中），工具和自动化流程用它向你的网站发布内容。撤销不再使用的那些。
- 你的主机账户密码，以及 FTP 或 SFTP 密码（如果有）。
- 插件中保存的所有 API 密钥，例如支付、邮件营销或 AI 写作插件。
顺手为主机账户开启两步验证登录。只需五分钟，就能挡住最常见的后续攻击。
第 7 步：让下一次变得平淡无奇
PHP2Shell 不会是最后一个大型网络漏洞，而 AI 正让攻击者更快地把已知漏洞变成可用的攻击。几个习惯就能让下一次紧急情况变成小事一桩：
- 每日自动备份，存放在服务器以外的地方，并保留至少两周的历史。
- 自动小版本更新，用于 WordPress 核心和可信的插件。
- 在你的 AI 使用政策里加一行安全条款，写明哪些内容可以、哪些不可以粘贴到聊天机器人里。我们的一页纸 AI 政策速成技巧教你一个下午写好。
- 保存一条提示，把任何安全新闻标题转化为“这对我的网站意味着什么，我该问主机商什么？”。
你的网站就是你的店面，而且越来越多地成为客户向 AI 助手求推荐时 AI 读取的内容。被黑的网站可能会悄无声息地从这些答案中消失。这又多了一个保持网站健康的理由，正如我们在独立经营者如何获得 AI 推荐一文中所说。
你的 30 分钟回顾
在站点健康中查看 PHP 版本。从主机商那里拿到关于 10 月 21 日补丁的书面确认。排查 10 月 17 日以来新增的管理员、陌生插件和奇怪跳转。更换密码和应用程序密码。开启备份和两步验证。完成。
你的主机商已经回复了吗？在评论区告诉我们他们多快回复、说了什么。这能帮助其他独立经营者了解一个好的回答应该是什么样子。
