2026 年 11 月 6 日，网络安全研究员、Report URI 创始人 Scott Helme 披露了一份棘手的监测清单：其威胁情报系统已百分百确认全球有 15,579 个独立网站被植入恶意 JavaScript 脚本，另有数千个可疑站点待核实。这些沦陷的网站多为法国（.fr）、西班牙（.es）和德国（.de）等国的区域高流量站点，保守估计每月合计访问量超过 1.35 亿次。比起庞大的感染规模，更荒诞的是防守方的处境——安全团队手里握着确凿的攻击证据，发出的警报邮件却石沉大海，自动化检测的速度早已远远甩开人工通知的极限。
这场危机的本质，是现代 Web 攻击已经演进为高度自动化的供应链合流，而安全界点对点的响应机制还停留在手工作坊时代。
废弃代码借尸还魂与黑产基础设施合流
许多网站管理员至今以为，只要自己把服务器补丁打齐、不用高危插件，网站就不会挂马。Report URI 披露的攻击向量直接打破了这种安全幻觉。
除了利用 WordPress 漏洞直接篡改文件、传统跨站脚本（XSS）以及污染第三方开源库，一种名为 DeadTag 的隐蔽战法正在蔓延。Report URI 在 2026 年 10 月 22 日的调查中发现，攻击者专门搜寻那些多年前嵌入网页、如今早已被遗忘的第三方统计或广告标签。当这些标签背后的原公司倒闭、域名过期释放后，黑客便出手抢注了超过 660 个过期域名并将其重新激活。网站自身的代码哪怕固若金汤，只要还没删掉那行几年前的遗留脚本引用，访客打开网页时就会自动从黑客接管的域名拉取恶意代码，在特定版本的 iOS 设备上静默触发漏洞，植入 DarkSword 或 Coruna 间谍软件。
攻击载荷的分发也呈现出明显的黑产工业化合流。过去网页挂马大多各司其职，要么是瞄准结账页面的 Magecart 信用卡侧录脚本，要么是恶意重定向。但 Report URI 在 2026 年 9 月 2 日记录到一起联合攻击活动，Magecart 盗刷团伙与 ClickFix 攻击者已经开始共享同一个加载器（loader）和底层基础设施。紧接着在 9 月 23 日的调查中，一场关联 macOS 窃密木马的 ClickFix 攻击被证实已感染超过 2,000 个 WordPress 网站，通过伪造人机验证弹窗，诱骗访客自己动手在电脑上运行恶意代码。
- 风险.对于欧洲区域头部站点及中小电商的运维人员而言，如果不立即审计网页源码、清理失效的外部
<script>引用并启用严格的内容安全策略（CSP），即便服务器本身没有任何漏洞，网站也会随时变成黑客分发跨平台木马的跳板。
把感染通报当成漏洞披露是找错了药方
面对 1.5 万个沦陷站点，Scott Helme 将通知无门归咎于 security.txt 普及率太低，以及网站管理员不回邮件，进而选择发文向欧洲各国的国家网络安全中心（NCSC）和计算机应急响应小组（CERT）公开求助，同时在文末留同一邮箱推介自家的商业威胁情报源。这番略带公关色彩的求助，暴露出安全行业在治理中长尾网站时的工具错位。
这里首先需要厘清数据边界：所谓 15,579 个感染网站和每月 1.35 亿次访问，均来自 Report URI 单方面的爬虫测算，尚未经独立第三方核查，且网站访问量并不直接等于实际被盗刷或植入木马的受害人数。更重要的是，指望靠 security.txt 解决大规模网页挂马，从标准定义上就走偏了。定义该标准的 RFC 9116 规范明确区分了漏洞披露与事件通知：security.txt 主要是为了让白帽子向具备安全团队的企业报告代码漏洞，而不是为了向一万多个连专职运维都没有的区域网站通报“你们已经被黑客挂马了”。
指望靠点对点发邮件叫醒一万五千个网站管理员，本质上是用手工作坊的方式对抗自动化黑产。
在中长尾 Web 生态里，WHOIS 隐私保护早已屏蔽了域名注册人信息，发往通用联系邮箱的警告信十有八九会躺在垃圾箱里。当自动化威胁情报系统每天吐出成百上千个新感染名单时，沿用传统的点对点人工联系，注定会在沟通成本面前彻底瘫痪。
绕开失联的站长直接在上游截流
既然叫不醒装睡的网站主，互联网安全生态该如何拆掉这颗每月波及 1.35 亿人次的定时炸弹？答案不在站长的收件箱里，而在现有的全球威胁共享与上游阻断基础设施中。
Report URI 在文中表现得仿佛除了找国家级 CERT 认领名单外别无他法，但业界早已建立起一套绕过终端站长的自动化处置网络。Shadowserver 基金会每天都会向经过验证的网络自治系统（ASN）所有者、云厂商及域名注册局免费推送受损网站报告，直接由具备管辖权的托管商下场清理；针对那 660 多个分发间谍软件的抢注域名，向 Netcraft 提交恶意 URL 报告以启动商业关停（takedown），或者将情报汇入 abuse.ch 旗下的 URLhaus 数据库，与全球主流安全厂商和浏览器黑名单实时同步，都要比挨个给法国、德国的地方网站发邮件高效得多。
- 建议.对于安全情报机构与监管方而言，治理数万级规模的第三方脚本污染，必须放弃唤醒每一个长尾站长的执念，转而将情报直接注入 URLhaus、Shadowserver 及主流浏览器的安全拦截接口，在访客加载恶意域名之前完成上游断流。
接下来真正决定这 1.35 亿月度访问安全走向的，不是那 15,579 个网站管理员何时学会配置 security.txt，而是欧洲各国 CERT 接手数据后能否联动本地云服务商强制断网清理，以及各大浏览器厂商能否针对过期域名复活挂马建立更敏感的自动化拦截机制。