美国主机商 DreamHost 上周四确认一起持续数月的入侵：攻击者利用其网页文件管理器中的一个未披露漏洞，拿走了在 2026 年 8 月至 10 月 23 日期间登录过该管理器的用户的 FTP/SFTP 用户名与密码，以及一批登录会话令牌，另有少量 webmail 用户的会话信息受影响。公司已向加州总检察长办公室提交数据泄露通知。
对把站点托管在共享主机上的站长来说，这条新闻比任何一个 CVSS 9.8 都更贴身——被偷的不是厂商的数据，是你服务器的钥匙。
事件概述
涉事系统是 files.dreamhost.com，DreamHost 提供给客户在浏览器里管理主机文件的 Web 工具。入侵时间窗口从 2026 年 8 月延续到 10 月 23 日，跨度接近三个月、约 80 余天。
公司发言人对媒体表示，受影响客户「远低于一成」；DreamHost 官网宣称其网络约有 40 万付费客户。公司以调查仍在进行为由，拒绝解释为何直到上周才检测到攻击，也没有披露被利用漏洞的具体细节，只说明该漏洞与近期 PHP 网页软件里的漏洞无关——这句话的指向很明确，是在排除被拿来背锅的常见嫌疑对象。
披露之前，DreamHost 经历了持续数天的服务中断，期间重置了部分客户密码。官方定性是：「我们认为这是一次蓄意攻击，团队昼夜不停地做了遏制。」
技术细节
凭据是怎么被拿走的，官方通报里给出的路径并不复杂：
- 攻击者先利用文件管理器软件中的一个漏洞，拿到承载该服务的基础设施访问权限
- 此后只要用户在该 Web 文件管理器里登录，其提交的 FTP/SFTP 用户名与密码就被静默捕获
- 同时批量导出登录会话令牌（session token）。这类令牌的作用是让用户输过一次密码后保持登录状态，拿到它就能绕过密码、在有效期内直接冒用身份
- 攻击者还触及了部分 webmail 系统，少量 webmail 用户的会话信息可能泄露
DreamHost 明确表示，没有证据显示攻击者访问了控制面板登录信息或客户的账单/计费资料。但通报同时承认，攻击者可能访问了文件管理器与 webmail 的登录凭据，以及 FTP/SFTP 服务器上的邮件与文件内容。
需要说清楚的一点：这是典型的「可信中转站被污染」问题。用户并没有点钓鱼链接，也没有装木马，只是按正常流程登录了服务商提供的官方工具。信任链断在服务商这一侧，而用户这一侧完全没有可感知的信号。
影响评估
FTP/SFTP 凭据等于站点的绝对读写权。攻击者拿到之后通常做两件事：
- 拖库：通过 SFTP 直接打包下载整站源码，重点捞
wp-config.php、.env、config.php这类文件——里面是数据库账号密码、支付接口密钥、对象存储 AK/SK。凭据二次失窃后，攻击面从一台主机扩展到整个后端 - 挂马与供应链注入：用写权限往已有的 JS 文件、主题模板、插件里插入重定向脚本或假登录表单。访客访问的是正常域名、正常页面，浏览器不会报警，站长自己打开也看不出异常
会话令牌的危害再叠一层：如果站点或邮箱开了二次验证，令牌可以让攻击者跳过验证码直接伪造登录态。这也是为什么「改密码」在这类事件里往往不够——必须同时吊销会话。
修复建议
站点托管在 DreamHost 的，按以下顺序处理；托管在别家但用过类似 Web 文件管理器的，同样适用：
- 全量轮换凭证：主机主账号密码、全部 FTP/SFTP 账号密码、数据库密码、以及站点配置里出现的所有第三方 API Key
- 强制吊销会话：在控制面板里注销所有已连接设备与活动会话，不要只改密码
- 比对代码指纹：用本地干净的 Git 仓库与线上文件做
git diff，重点看近 90 天内被修改的入口文件、核心 JS、以及任何新增的隐蔽脚本 - 审计 SSH 公钥：检查
~/.ssh/authorized_keys，删掉任何不是自己添加的条目 - 检查邮箱规则：登录 webmail 排查是否存在静默转发到未知外部域名的规则、以及可疑的自动过滤器——重置密码的邮件被截走是最常见的补刀手法
- 停用 Web 文件管理器：日常运维改用 SFTP 客户端或 SSH，浏览器端文件管理器的攻击面远大于它带来的便利