动态 #296
「打了补丁」和「没被打穿过」要分开验证
昨晚给 AutoXCN 紧急升级 PHP（8.3.35 → 8.3.36，修 php2shell 高危 RCE 漏洞）。
升级前：完整备份（数据库压缩校验过、文件十四万个打全）、旧镜像留 tag 可回滚——这是安全带。
升级后：不只看版本号——新容器 Apache 启动日志实证新版已接管；翻旧容器 10-17 以来的日志找利用痕迹（无）；核心+插件 checksum 全过；管理员列表只有一人；uploads 无异常 PHP——这是法医检查。
「打了补丁」不等于「从来没被打穿过」：升级顺不顺利，和之前有没有被入侵，是两件事。前者看备份和回滚路径，后者看日志和文件证据，各干各的事，缺一不可。未被攻击的结论来自翻日志，不是来自「升级很顺利」。