登录
10 月 23 日中午，Sonos 中国发布官方公告：受 PHP 全球安全漏洞影响，为保障用户数据安全，Sonos App 内暂停网易云音乐、QQ音乐、酷狗音乐、酷我音乐四项服务，官方正在推送安全更新，预计“未来几天内”恢复。 公告同时给出一颗定心丸：音乐服务账号里的收藏和自建歌单不会丢失，用户无需更改密码或重装 App，恢复后可能只需重新授权账号即可继续使用。微博IT之家
让音箱厂商直接“停服”的，是什么漏洞
这次风暴的中心，是一个被业内称作 PHP2Shell 的漏洞组合。10 月 21 日，PHP 官方紧急发布新版本，一次性修掉两个能让人直接接管服务器的漏洞；同一天，国家信息安全漏洞共享平台（CNVD）收录了这两个漏洞，给出编号 CNVD-2026-41674、41675，危险评分 9.2 分（满分 10 分）。知乎
它难缠的地方在于“底”：问题出在 PHP 解释器本身，影响版本从 PHP 5.4.0 一路覆盖到 8.5.11，算下来已经潜伏了约 14 年；按业内常引用的 W3Techs 口径，全球约七成网站都跑在 PHP 上——官网、OA、报名预约系统、NAS 面板这类“看不见的老基础设施”首当其冲。披露过程又被一次意外泄露压短了窗口：原定于 10 月 22 日公布的补丁，因 10 月 20 日漏洞细节在 Hacker News 外泄而提前到 10 月 21 日 14:00 UTC（北京时间当晚 22 点）发布，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。
补丁出了，不等于所有系统立刻升得上去：PHP 8.1 及更早分支已停止官方版本更新，只剩源码级补丁，对老系统而言升级是需要评估测试的排期工程。英国国家网络安全中心（NCSC）因此敦促各组织，对无法立即完成修复的系统应考虑暂时下线。 Sonos 选择在 App 侧先行挂起四家国内音乐集成、同步推送安全更新，走的正是同一条保守路线：把一时无法确认安全的数据链路先断开，比“带病运行”更稳。知乎
Sonos 用户现在该做什么
结论是：先不用做任何操作。收藏和歌单存在音乐服务账号里，不存在丢失风险；官方明确无需更改密码、无需重装 App。真正的动作留在恢复公告之后——按公告口径，届时重新授权音乐服务账号即可继续使用。截至 10 月 23 日晚，官方尚未发布恢复消息，公告给出的时间仍是“未来几天内”。
需要划清边界的是：这次暂停的只是 Sonos App 内的这四家音乐服务，官方公告未涉及音箱硬件本身的其他播放方式；网易云、QQ音乐等集成具体依赖哪些 PHP 组件、海外音乐服务为何不在此列，Sonos 也尚未披露，这两点是后续公告值得盯的信息缺口。
也别把它传成“全网完蛋”
一个值得对冲的细节：这个漏洞确实严重，但眼下并不“好打”。安全研究者 Elias Taylor 在漏洞公开当天的实测观察是，GitHub 上冒出的海量所谓 PoC 脚本有一个共同问题——对原版 PHP 实例不起作用，不少甚至要求目标服务器上先存在另一个可被利用的代码漏洞，够不上 Log4Shell 那种“新闻一出、僵尸网络当晚扫平互联网”的量级。知乎
但“难利用”从来不是“不修”的理由，PHP 官方的原话是：临时措施只能减少一部分风险，不能替代升级。对普通 Sonos 用户，等官方推送完成即可；而对还在跑 PHP 老系统的企业、自建服务爱好者，这周最实在的动作是把 8.5.12、8.4.27、8.3.36、8.2.35 这四个版本号发给技术负责人，问一句：我们跑的是哪个版本，几天内能升上去。
