Apache + mod_php
官方已用默认配置验证可远程执行代码，攻击发生在网站代码运行之前，网站本身写得再好也挡不住。
PHP2Shell · CVSS 9.2
把老 PHP 网站迁到更安全的技术栈
10 月 21 日 PHP 官方披露两个 9.2 分漏洞，不用登录就能在服务器上执行代码。留下邮箱，我们先免费判断你的网站是否受影响，再给出修复或迁移方案。
已收到，我们会在 2 个工作日内回复。
已补充，谢谢。
哪些网站最危险
两个漏洞都在 PHP 内核里，和网站用什么程序无关。危险程度主要看 PHP 版本和运行方式。
Nginx + PHP-FPM
其中一个漏洞已在 FPM 上验证可远程执行代码，需要网站里有能配合的代码路径；另一个目前停留在理论分析。
PHP 8.1 及更老版本
官方已停止维护，不会发布补丁。要修复只能升级大版本，或者干脆迁移。
截至 10 月 22 日，尚未发现在野利用；但细节已经公开，利用代码出现只是时间问题。
两种处理方式
先止血：升级与加固
适合近期还要继续用 PHP 的网站
- 升级到对应版本线的修复版本
- 暂时没法升级的，按官方建议临时加固
- 检查日志里有没有被攻击过的痕迹
彻底解决：迁移技术栈
适合 PHP 版本已停更、长期没人维护、改一次就怕一次的网站
- 迁到维护活跃的技术栈，如 Next.js、静态站 + 无头 CMS、Node.js 后端
- 保留原有网址结构，改动的网址做 301 跳转，不丢搜索排名
- 新站稳定后再下线旧服务器
迁移怎么做
-
1
免费评估
查 PHP 版本、运行方式、插件和数据量，判断是否受影响。
-
2
方案与报价
告诉你修还是迁、迁到什么、多久、多少钱。
-
3
新站搭建
新站单独搭建和验证，旧站照常运行，不停机。
-
4
切换上线
切换域名、核对跳转与收录，确认稳定后下线旧站。
常见问题
一定要换技术栈吗？
不一定。只修这两个漏洞的话，升级到修复版本就够了。评估后我们会如实告诉你哪种更合适。
WordPress 网站能迁吗？
能。文章、页面和图片可以整体迁到新站；依赖插件的功能 (表单、会员、商城) 会逐个评估替代方案。
迁移会影响搜索排名吗？
我们保留原有网址结构，改动的网址做 301 跳转，上线前后核对收录情况。
评估需要提供什么？
先只要邮箱和网站地址。需要服务器信息时，我们会在邮件里说明要什么、为什么要。
先免费评估一下
留下邮箱，我们会告诉你网站是否受影响、该修还是该迁。
已收到，我们会在 2 个工作日内回复。
已补充，谢谢。