币安创始人赵长鹏警告加密货币用户，在未来几天访问网站时要格外谨慎，因为全球数百万网站使用的编程语言 PHP 中被发现存在两个严重漏洞。
摘要
- 在发现两个严重的 PHP 漏洞后，币安创始人赵长鹏敦促加密货币用户在访问网站时保持谨慎。
- 这些漏洞可能允许攻击者在受影响的服务器上执行恶意代码，包括运行 WordPress 和 Magento 等流行平台的服务器。
- 在漏洞细节于计划披露之前泄露后，PHP 开发者于 10 月 21 日发布了紧急安全补丁。
- 安全研究人员已检测到漏洞利用尝试，尽管尚无确认的、直接影响加密货币交易所或用户钱包的事件被直接与这些漏洞关联起来。
在 10 月 22 日发布的警告中，赵长鹏指出了两个被标识为 CVE-2026-109618 和 CVE-2026-109619 的安全漏洞，这些漏洞可能允许攻击者在无需身份验证的情况下在存在漏洞的 Web 服务器上执行恶意代码。
“说我偏执也好，但未来几天访问任何网站都要格外小心，”赵长鹏写道，并解释说一些网站管理员可能尚未安装最新的安全补丁。
这些漏洞影响支持流行内容管理和电子商务平台的 PHP 安装，包括 WordPress、Magento、Drupal 和 Joomla。成功利用漏洞可能允许攻击者入侵网站基础设施、访问敏感信息或修改向访客提供的内容。
尽管赵长鹏的警告是针对网站用户的，但这些底层漏洞影响的是服务器，并不意味着访问任何基于 PHP 的网站就会自动危及个人设备或加密货币钱包。
PHP 漏洞允许攻击者远程执行代码
根据 PHP 基金会的安全披露，这两个漏洞的严重性评分均为 10 分中的 9.2 分，涉及该编程语言内存管理和错误处理系统中的弱点。
第一个漏洞 CVE-2026-109618 涉及 PHP 在某些操作期间达到其配置的内存限制时的内存损坏。在特定条件下，服务器可能错误地处理部分初始化的数据，从而允许攻击者执行未经授权的代码。
与此同时，CVE-2026-109619 涉及在相关内存被释放后仍可访问的内部内存引用。研究人员证明，攻击者可以利用该弱点对运行在受影响服务器上的应用程序执行代码。
该基金会确认，在使用 mod_php 的 Apache 服务器默认配置下，漏洞利用是可能的，同时研究人员还展示了涉及 PHP-FPM 的其他攻击路径。
在披露之后，开发者于 10 月 21 日发布了修复版本 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。
PHP 官方公告敦促管理员立即更新，并警告称临时防护措施无法完全消除风险。
较旧的 PHP 安装仍然令人担忧，因为该项目支持分支之外的版本可能依赖于托管提供商或软件供应商单独提供的安全修复程序。
紧急补丁已发布
在 PHP 安全团队完成其计划的披露流程之前，有关这些漏洞的细节就已开始流传。
据该基金会称，这两个漏洞标识符于10月20日出现在在线论坛和社交媒体上，同时附带了错误的10.0严重性评分和不准确的发布时间表。
尽管最初的泄露不包含技术漏洞利用说明，但安全公司Calif随后误发布了一段概念验证视频，展示了对多个目标的攻击。
在原始视频被删除后，副本仍在继续传播，促使研究人员开发了更多漏洞利用演示。
PHP团队随后将其计划的安全版本发布时间从10月22日提前至10月21日，使软件发行商有时间准备更新，同时缩短了技术信息在无补丁可用期间传播的时间。
该基金会还单独批评了安全供应商Chainguard，称其在协调发布前六个多小时就发布了已修补的软件镜像，这可能使攻击者在公开披露之前检查这些更改。
安全公司Cloudflare在漏洞公开之前部署了防火墙保护，并与来自OpenAI、Wiz及其他参与披露的机构的研究人员合作。
Cloudflare表示，这些统称为PHP2Shell的漏洞可能使受影响的服务器面临远程代码执行、服务中断和敏感数据泄露的风险。
加密货币用户面临网站被入侵的风险？
赵的警告发出之际，加密货币用户继续面临依赖欺诈性网站和欺骗性钱包凭证请求的网络钓鱼活动。
上周，crypto.news报道称，虚假Ledger网站出现在谷歌搜索结果中，攻击者试图通过冒充合法软件的页面收集钱包恢复短语。
另一起事件中，攻击者利用Trezor网络钓鱼邮件和被入侵的第三方基础设施向加密货币客户分发欺诈性安全信息。
然而，被入侵的PHP服务器可能使攻击者能够更改网站内容或引入欺诈性登录和钱包连接请求，具体取决于所获得的访问权限。
截至发稿时，尚无确认的报告显示有加密货币交易所或用户钱包的安全事件与此次新披露的PHP漏洞直接相关。
加拿大网络安全中心已敦促运营面向互联网的PHP应用程序的组织识别存在漏洞的安装并立即应用可用的安全更新。
