PHP2Shell漏洞被问得最多的一句是：我常逛的网站会不会有事？起因是百度热搜上那条「全球70%网站都危险了」。
这条话题的信息不算多，但顺序很清楚：先曝光，再补丁，然后各地动手排查。下面按这个顺序捋。
PHP2Shell到底是什么漏洞？
PHP是一种写网站后台的编程语言。百度热搜的说法是，它支撑着全球约70%的网站。
PHP2Shell是这个漏洞的代号。热搜给出的成因只有一句：内存管理问题。
简单说，就是程序在占用和释放内存时出了岔子。百度热搜把它定性为高危。
从补丁到预警再到排查，顺序是怎样的？
按百度热搜的描述，时间线大致是三步。
- 漏洞曝光，代号PHP2Shell。
- 官方发布补丁，也就是修复漏洞的更新。
- 欧美紧急预警，并关停部分网站；亚洲多国的政府和企业也在排查加固。
从时间线看，预警和关停是在补丁出来之后。这意味着风险的重点已经不在有没有修复办法，而在各家网站有没有及时装上。
关停部分网站，换句话说，是宁可先下线也不留着风险。具体关停了哪些、哪天关的，热搜没有展开。
「七成网站」能直接当成中招数吗？
不能。
70%说的是PHP支撑的网站占比，是漏洞影响面的上限，不是已经出事的网站数。热搜标题的「都危险了」是传播用语，正文只提到了排查加固和防范攻击风险。
还有一处说法对不上。百度热搜称这是「高危」漏洞，知乎热榜的一个问题则写的是「超高危」。
那个问题的提法是：10月21日前后，nodejs、PHP、Oracle、Chrome、Linux都爆出了超高危漏洞。PHP只是被一起点名的五个之一。
两边的定级措辞不同，各自引用的评估来源也看不出来，这里不替任何一方裁决。
这事跟普通网民有什么关系？
多数人帮不上忙，也不用慌。
补丁要装在网站的服务器上，修不修取决于站点运营方。从热搜的描述看，眼下在动手的正是政府和企业这类运营方。
这类事件的节奏，可以对照站内另一篇按时间还原的淘宝崩了始末，也能看看寿司郎小程序崩溃那次，用户端看到的往往只是打不开、用不了。
对读者来说，能做的就是留意常用网站有没有临时停服或维护公告。那多半就是在排查加固。