PHP漏洞遭数百万次攻击尝试,币安创始人CZ提醒网民保持警惕

Coinbase与BitGo均称未受波及

针对新披露PHP漏洞的攻击尝试已攀升至数百万次级别,各大加密企业于10月22日相继发布声明,说明自身系统是否受到影响。Coinbase(COIN)与BitGo均表示,没有证据显示其基础设施遭到波及。币安则称,在官方安全补丁分发之前就已部署防护措施,并已完成其认为必要的全部应对工作。截至发稿,尚无任何加密企业被入侵的记录,也没有用户资金损失。币安联合创始人赵长鹏(业内通称CZ)提醒用户,未来几天访问任何网站都要格外谨慎。他担心的是,打补丁迟缓的网站可能成为窃取登录凭证或攻击访问者设备的通道。此番警报的核心是一类允许攻击者在无需登录的情况下于服务器上执行代码的漏洞。PHP开发团队已于10月21日发布修复版本,但补丁需要每个网站运营者自行安装。基础设施层面的数据足以说明扫描规模:Cloudflare记录到,漏洞披露后两小时内攻击尝试就升至数十万次,随后进一步达到数百万次。亚马逊表示,早在漏洞公开之前的10月17日就已观察到相关尝试。另一桩独立的证书问题也在印度机构eMudhra处浮出水面:八张中间证书的私钥异常脆弱,攻击者可借此伪造证书、冒充交易所。浏览器已开始拦截这些证书,但使用自带证书列表的交易程序未必会同步拦截。Lightning Labs已要求其比特币与闪电网络软件的用户立即更新。随警报流传的操作建议包括:只通过收藏夹中的官方网站访问交易所,不要相信催促升级的弹窗,并在转账前将每个充值地址与此前保存的地址逐一比对。

CVE-2026-109618与CVE-2026-109619

这轮警告建立在PHP的两个严重漏洞之上。PHP是驱动互联网大量网站的服务器端语言,包括所有WordPress站点。在漏洞细节早于原定披露时间外泄之后,官方于10月21日发布紧急安全更新修复了这两个漏洞,编号分别为CVE-2026-109618与CVE-2026-109619,且两者均不需要攻击者登录即可利用。CZ于10月21日在X上写道,人们也许会说他多疑,但未来几天访问任何网站都应非常小心,因为一些网站运营者并不总是及时更新安全体系。他还表示,这两个漏洞在披露后不久已被证实在真实环境中遭到利用。PHP基金会对此次发布的说法在一点上与CZ不同。其声明称,相关CVE编号于10月20日开始在网上流传,附带错误的发布日期,并宣称严重程度为10分满分,而实际评分为9.2。报告漏洞的一方之一Calif误发了讲解利用方法的视频,Chainguard则比约定时间提前六个多小时发布了修复版构建。PHP基金会强调,在更新发布之前并未观察到真实利用行为,这与CZ此后的说法相左。政府网络机构也同步行动。美国国家安全局(NSA)建议PHP用户为更新做好准备,若无法立即打补丁则应将受影响的系统断开网络。美国联邦调查局(FBI)网络部门重复了这一建议,并要求运营者留意异常打开系统命令的PHP进程。在加密平台方面,BNB Chain的Nina Rong确认该网络本身不运行PHP。BNB Chain上的大型去中心化交易所PancakeSwap表示,其基础设施均不使用PHP,用户资金安全。CZ转发了这一声明并评论称,大多数项目至少应当发布一份此类确认。

@cz_binance · X 帖子

X上写道.

在 X 上查看

补丁之前的泄露

PHP基金会的发布说明是这起事件的核心文件,它把风险窗口界定得相当清楚:漏洞细节于10月20日在网上流传,修复方案于10月21日落地,这意味着未打补丁的服务器在可用的利用指南公开流通的情况下暴露了大约一天。宣称的10分严重程度与实际的9.2分之间的落差、供应商提前六小时发布修复构建,这些细节指向一个明显承压的协同披露流程,而非一次例行的补丁周期。对加密用户而言,实际暴露面比标题暗示的要窄:目前没有任何交易所被入侵或用户资金损失的确认记录。现实中的风险点在于被攻陷网站上的地址替换攻击;而硬件钱包虽然会显示发送地址,却无法判断被黑的网站呈现的是否为伪造地址。