网赚：日进千刀: PHP 9。2 高危漏洞自查指南投放追踪器落地页回传 3 处要查

2026年10月21日星期三

Tags:

PHP追踪

Hi，我是 Peter。

昨天，PHP 爆出两个 9.2 分的高危漏洞（满分 10），不用登录就能在服务器上跑代码，很多人干脆主动把网站下架了。

我们的追踪器也是 PHP 写的。出补丁后，给 Claude Code 发了条消息。下面从投放这一侧说说，这次要先查哪。

出了什么事

10 月 21 日，PHP 官方发了紧急安全更新：

PHP 官方安全公告

官方说，所有对外跑网页的 PHP 都有风险，Apache 加 mod_php 最危险；细节发布前就泄露了，几家安全公司都看到了攻击尝试。

修好的版本是 8.5.12、8.4.27、8.3.36、8.2.35。流量走 Cloudflare 代理的，默认已经拦了一层，但它自己也说替代不了升级。

先查这 3 个地方

一个付费点击要经过好几站，这 3 站很多人是用 PHP 自己搭在服务器上的。要是被人拿下，钱可能就从这里跑了。

1. 追踪器。跳转被改，你买的点击去了别人的 offer，你以为 offer 不行了；里面要是存着投放数据和流量平台、联盟的 API 密钥，也可能被拿走。

2. 落地页。被人入侵、挂上恶意代码，相关的 Google 广告会被拒登；清理干净、重新提交，重新检查页面最多要 72 小时。WordPress 做的落地页一样要升 PHP。

3. 回传。流量平台要是靠回传自动优化，假转化可能让它把预算分错；真实转化传不回去，它也可能看错广告位。

5分钟修完

给 Claude Code 发了条消息：让它全面排查。

它查出只有追踪器是 PHP，一开始还以为已经是最新的安全版，读完链接才更正，接着升级、重启、做入侵排查，这一轮没发现异常。排查时它还发现，网站加密用的 OpenSSL 新版装了 25 天都没用上，完整重启后才换过来。

从我问它到报告出来 5分钟，我没碰服务器。

我的思考

1. 升级、下架都要算成本。昨晚重载时，点击接口有几秒报错，几百个请求没成功；流量高的时候，十几秒可能影响更多付费点击。要下架的，先把在跑的广告停了，不然买来的点击会落在打不开的页面上。

但在安全漏洞面前，这点损失忽略不计。当然也有一些人主动下架网站等待修复，这是最保险做法。

总之，用 PHP 自建追踪、落地页、网站的圈友，记得就去看一眼。确保已成功升级。

希望这篇内容对你有所帮助！

更多 Affiliate Marketing 干货，请前往星球/飞书获取 👇

网赚：日进千刀