2026-10-23 每日跨境早报

1. PHP 高危漏洞，先打补丁

最急的这条先讲。十月二十一号，PHP 官方紧急发了两个安全补丁，严重程度评分 9.2，满分 10。

PHP 就是你网站底下那层地基，WordPress 和你后台那堆插件全建在它上面。这两个洞的共同点是：不用账号，不用密码，发一个特制的请求就能打进来，直接拿到服务器的控制权。

不是理论风险。官方公告写得很直白，攻击代码已经在流传。欧洲那边二十一号起已经有大批网站主动下线避险，荷兰鹿特丹港、比利时外交部、德国和芬兰的政府网站都停了。鹿特丹港是你货出海的主要通道，它的系统停着，订舱和单证就跟着卡。

你现在做三件事。

第一，先看自己在不在范围内。中招的是这几条线：8.5 版本低于 8.5.12，8.4 低于 8.4.27，8.3 低于 8.3.36，8.2 低于 8.2.35。8.1 和更早的版本官方已经彻底不管了，只能升。

第二，升级前先备份。整站文件和数据库各备一份导到本地，万一哪个插件不兼容，你还能退回去。

第三，升到 8.5.12、8.4.27、8.3.36 或者 8.2.35 里任意一个。宝塔面板里直接切 PHP 版本，阿里云虚拟主机后台找「PHP 版本」那一栏改，自己管服务器的就更新系统包。

最后一句要说清：这次没有绕过去的办法。官方原话是，改配置只能挡住其中一个洞，挡不住另一个，唯一解法就是升上去。今天就做，十来分钟能完。

2. 黑五预算降到 336 美元

第二条，今年黑五，你先有个心理准备。

Omnisend 八月委托 Cint 调查了四千三百多个美国、英国、加拿大、澳洲的消费者。美国人今年黑五网一的计划预算是 336 美元，去年 479 美元，少了三成。打算花一千美元以上的，从 15% 掉到 7%；预算不到一百美元的，从 5% 涨到 14%；三成八的人说会考虑先买后付。

这组数字的意思是，大单会变少，中小单会变多。你要是还只备高客单的货，今年容易压手。

另一份报告更实用。Hostinger 拿去年四万九千多家网店的数据算了一遍：黑五前八到二十一天就开始备促销的店，订单涨了 34.2%，销售额涨 36.7%；完全没准备的店，十一月流量还多了 5.8%，订单反而跌 3.5%，销售额跌 6.2%。

换成日期你就明白了。今年黑五十一月二十七号，往前推八到二十一天，就是十一月六号到十九号。你那批促销素材、优惠券、邮件和社媒排期，十一月上旬之前得做完，再往后赶不上了。

3. 送礼视频拍反应，不拍参数

第三条，你听听就行，下次拍视频的时候想起来就够。

万圣节前，广州一个彩妆品牌的二十色人体彩绘盘在 TikTok 美区爆了，九月二十三到十月二十这二十八天，卖了四万六千多单，六十四万美元。

真正值得抄的不是这个品，是它的视频怎么拍。同类的还有一个录音圣诞瓶，三十天卖一万多件，其中九成八的成交来自短视频，直播只占一点五。带货视频几乎都是一个路子：不拍瓶子里装了什么，拍妈妈按下录音键、听到孩子声音那一秒的表情。一条视频播了四百多万次，带来将近两万美元。

说白了，节日礼赠这类东西，客户买的不是产品本身，是送出去那一刻对方的反应。你要拍的是那个反应，不是材质和尺寸。

这条的数字我只核到第三方监测数据的转述，没找到原始报告，你当方向看，别当精确数字用。

最后留一句。这三件事其实是一回事：该防的当天防完，该备的这个月备完，别拖到旺季里去赶。洞补晚了丢的不是钱是数据，促销备晚了丢的是本来能拿到的单。

明天早上见。