币安创始人赵长鹏警告加密货币用户注意PHP的严重安全漏洞

币安创始人赵长鹏警告加密货币用户，在未来几天访问网站时要格外小心，因为全球数百万个网站使用的编程语言 PHP 中发现了两个严重漏洞。

概括

币安创始人赵长鹏在发现两个严重的 PHP 漏洞后，敦促加密货币用户在访问网站时保持谨慎。

这些漏洞可能允许攻击者在受影响的服务器上执行恶意代码，包括运行 WordPress 和 Magento 等热门平台的服务器。

在漏洞详情于计划公布前泄露后，PHP 开发人员于 10 月 21 日发布了紧急安全补丁。

安全研究人员已检测到利用这些漏洞的企图，但尚未有任何已确认的事件影响加密货币交易所或用户钱包，并将这些漏洞直接与这些事件联系起来。

赵在 10 月 22 日发布的警告中指出，有两个安全漏洞被认定为 CVE-2026-109618 和 CVE-2026-109619，攻击者可以利用这些漏洞在易受攻击的 Web 服务器上执行恶意代码，而无需进行身份验证。

赵写道：“或许有人会觉得我杞人忧天，但请大家在接下来的几天里访问任何网站时都格外小心。”他解释说，一些网站管理员可能还没有安装最新的安全补丁。

这些漏洞会影响支持主流内容管理和电子商务平台（包括 WordPress、Magento、Drupal 和 Joomla）的 PHP 安装。成功利用这些漏洞可能导致攻击者破坏网站基础设施、访问敏感信息或篡改向访问者显示的内容。

虽然赵的警告是针对网站用户，但其背后的漏洞影响的是服务器，并不意味着访问任何基于 PHP 的网站都会自动危及个人的设备或加密货币钱包。

PHP漏洞允许攻击者远程执行代码。

根据PHP 基金会的安全披露，这两个漏洞的严重程度评分均为 9.2 分（满分 10 分），涉及该编程语言的内存管理和错误处理系统中的弱点。

第一个漏洞 CVE-2026-109618 涉及 PHP 在执行某些操作时达到其配置的内存限制时发生的内存损坏。在特定情况下，服务器可能会错误地处理部分初始化的数据，从而允许攻击者执行未经授权的代码。

同时，CVE-2026-109619涉及内部内存引用在相关内存释放后仍然可访问的问题。研究人员证明，攻击者可以利用此漏洞对运行在受影响服务器上的应用程序执行恶意代码。

该基金会证实，在使用 mod_php 的 Apache 服务器的默认配置下，存在利用漏洞的可能性；同时，研究人员还展示了涉及 PHP-FPM 的其他攻击路径。

披露之后，开发人员于 10 月 21 日发布了 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 的修复版本。

PHP官方公告敦促管理员立即更新，并警告说临时保护措施无法完全消除风险。

较旧的 PHP 安装仍然令人担忧，因为项目支持分支之外的版本可能依赖于托管提供商或软件供应商单独提供的安全修复程序。

紧急补丁已发布

在 PHP 安全团队完成其计划的披露流程之前，有关漏洞的详细信息就开始流传。

据该基金会称，这两个漏洞标识符于 10 月 20 日出现在在线论坛和社交媒体上，同时伴有错误的严重性评分 10.0 和不准确的发布时间表。

虽然最初的泄露内容并未包含技术漏洞利用说明，但安全公司 Calif 随后错误地发布了一段概念验证视频，演示了对多个目标的攻击。

原视频被删除后，复制品继续流传，促使研究人员开发出更多漏洞利用演示。

PHP 团队随后将原定的安全更新发布日期从 10 月 22 日提前至 10 月 21 日，让软件分发商有时间准备更新，同时减少技术信息在没有补丁可用的情况下传播的时间。

该基金会还单独批评了安全供应商 Chainguard，称其在协调发布前六个多小时发布了已打补丁的软件镜像，这可能使攻击者能够在公开披露之前检查更改。

安全公司Cloudflare 在漏洞公开之前就部署了防火墙保护，并与 OpenAI、Wiz 和其他参与披露的组织的研究人员合作。

Cloudflare 表示，这些漏洞统称为 PHP2Shell，可能会使受影响的服务器面临远程代码执行、服务中断和敏感数据泄露的风险。

加密货币用户面临网站被入侵的风险？

赵的警告发出之际，加密货币用户正持续面临网络钓鱼攻击，这些攻击依靠欺诈性网站和欺骗性钱包凭证请求。

上周，crypto.news 报道称，谷歌搜索结果中出现了虚假的 Ledger 网站，攻击者试图通过模仿合法软件的页面来收集钱包恢复短语。

另一起事件中，攻击者利用Trezor 网络钓鱼邮件和被入侵的第三方基础设施，向加密货币客户散布欺诈性安全信息。

然而，被入侵的 PHP 服务器可能会允许攻击者更改网站内容或引入欺诈性的登录和钱包连接请求，具体取决于获得的访问权限。

截至发稿时，尚未有确凿报告显示，加密货币交易所或用户钱包受到与新披露的 PHP 漏洞直接相关的安全事件的影响。

加拿大网络安全中心敦促运营面向互联网的 PHP 应用程序的组织识别存在漏洞的安装，并立即应用可用的安全更新。