昨晚不太忙，原本想把服务器的事留到周末，后来想想还是别拖，索性把手上几台机器挨个检查了一遍，把最近讨论比较多的 PHP 漏洞补上了。不是什么值得炫耀的事，但拖久了心里总不踏实，干脆一次处理完。

PHP 这东西平时藏在网站后面，页面能打开，大家就很少去管它。可一旦出了安全漏洞，影响往往不是某一个页面，而是整台服务器上的站点。有些漏洞利用起来并不复杂，批量扫一遍就能找到目标。个人博客虽然没什么商业数据，但被拿来做跳板、挂马或者塞垃圾页面，照样很麻烦。我这边几个站都是自己一点点搭起来的，真出问题，最后还是得自己收拾。

不是点一下更新就完事

这次没有只点一下面板的更新按钮就结束。宁波、香港、西安几台机器都看了，先把在用的 PHP 分支升到修复版本，再重启对应的 PHP-FPM，最后逐个打开站点确认。8.3、8.4、8.5 都处理了，CLI 和 FPM 的版本也分别核对过。面板、证书、伪静态和几个后台也顺手检查了一遍。升级完之后不是看进程还在就跑，还要看首页、文章页、后台和接口有没有报错，日志里有没有新的警告。

有些老版本已经不再维护，不能只盯着版本号，还得看实际有没有站点在用。还在用的，先确认程序兼容性再动；确实没用的，就把服务停掉，少一个入口少一份风险。维护过程中也顺手清了几处没用的配置，免得以后自己都忘了它们是做什么的。

做完之后

维护过程中也发现，很多问题不是不会修，而是平时没人愿意去看。服务跑着的时候，谁都不想动它，怕一重启就出岔子。可安全这件事，等到有提醒、有异常流量或者页面被改，往往已经晚了一步。昨晚弄完不算早，但至少把明显的口子先堵上了。备份也重新确认了一遍，万一哪台机器升级后不舒服，还能退回去。

写这篇不是制造焦虑，也不是说自己做得多好。就是留个记录，提醒自己以后别总等到漏洞上了热搜才动手。小站也是站，个人博客也是别人能访问的入口。该升级就升级，该重启就重启，该检查就别偷懒。服务器平时安安静静的时候，才是最适合做这些事的时候。