所以现在的情况是，不只是 PHP，Node.js 也紧急发布了安全更新，官方给出的最高等级是 High 高危。 Node.js 是很多网站后台的基础，PayPal、奈飞、领英都在用。这次的问题出在它自带的解压缩工具上。 网页传数据时，经常用它来压缩。坏人可以故意做一个格式不对的压缩包，发给你的服务器，服务器一解压就出错。 轻则会把密码或密钥等泄露出去，重则能让坏人在你服务器上，运行他自己的代码，等于把服务器交给了他。 不过好消息是，只有网站程序或者用到的库，主动解压外面送进来的数据，才会中招，所以没有引发像 PHP 那样的恐慌。