Trust Wallet称PHP高危漏洞无需用户采取任何行动,评分9.2

Trust Wallet界定PHP风险范围

Trust Wallet于2026年10月22日发布官方说明,直接回应了加密社区在PHP漏洞公开后最关心的一个问题:作为加密钱包服务商,自己是否落在受影响的攻击面之内。答案是否定的,而且是双重否定。该公司在X平台发布的官方声明中表示,其钱包应用并非基于PHP构建,核心基础设施也不依赖这一技术,因此本周披露的PHP高危漏洞对本服务并不适用。这份声明在漏洞公开后约一天内即发出,时机上属于监测通报,而非事故响应。声明的原文写道:“我们已注意到近期披露的PHP安全漏洞。Trust Wallet的钱包应用和核心基础设施并非基于PHP构建。我们的用户不受影响,无需采取任何行动。”这条指令的含义非常明确:用户不需要转移资金,不需要创建新账户,也不需要完成任何额外的安全步骤。同时,这份保证的范围被公司自己刻意划得很窄。声明只覆盖新披露的PHP漏洞与其应用和基础设施之间的关系,不做更大的承诺。它没有宣称钱包能抵御所有类型的攻击,也没有延伸到持币人可能访问的其他平台。值得记录的是,在发布这份保证时,尚未出现任何用户受损的报告,而公司给出的理由正是上述架构层面的事实。

CVE-2026-109618与CVE-2026-109619

引发这轮回应的,是PHP(支撑着互联网相当大比例网站的服务器端编程语言)中两个被公开的严重漏洞,披露时间为10月21日。两个漏洞编号分别为CVE-2026-109618和CVE-2026-109619,在CVSS 4.0评分体系下均为满分10分中的9.2分,在特定条件下允许攻击者在易受攻击的服务器上远程执行恶意代码。风险集中在尚未安装安全更新的基于PHP的Web服务器上;运行WordPress、Magento及其他PHP应用的受影响服务器配置都可能被纳入范围。需要说明的是,此次披露并不意味着每个PHP网站都已遭到攻击,也不意味着用户数据已被窃取。PHP开发团队在同一天就发布了修复版本,包括8.2.35、8.3.36、8.4.27和8.5.12,服务器管理员应升级到对应版本的修补版或发行方的安全更新包。在这一背景下,Trust Wallet对其用户的指引是:由于这些漏洞,无需进行钱包更换、转账或开设新账户。公司在给出“无需行动”结论的同时,也附上了常规防范建议。这些建议并非空话,因为排除基础设施风险之后,热钱包始终在线,安全的主要负担落在用户行为上。重大安全新闻传出后,伪造的客服账号常会诱使持币人将资产转移到另一个钱包地址;助记词绝不应提供给任何网站或自称客服的人;要求连接钱包的可疑应用应当回避;签署交易前的授权审批需要逐项核对。需要更强隔离的长期持仓可以考虑硬件钱包, weighing这一路径的读者可以参考我们的Cypherock X1钱包指南了解设置细节。公司最后补充一条提醒:PHP漏洞可能波及用户访问的某个网站,即便它从未触及钱包应用本身,因此该声明不能被理解为所有加密平台都安全的说法。另有独立研究仍在进行,DarkSword iPhone漏洞利用仍被记录为针对Trust Wallet用户,涉及九款钱包应用。

真正的残余风险是钓鱼,而非PHP

我们的判断是:这份声明解决了窄的问题,却留下一个更宽的问题悬而未决。这里的一手记录,也就是公司自己的帖子,只覆盖Trust Wallet的应用和核心基础设施;尚未核实的是,持币人依赖的其他任何基于PHP的服务,从托管商到Web应用,是否曾带有暴露面。修复版本给了管理员一个具体的解决方案,但未打补丁的服务器仍是声明中承认的风险,而目前没有任何公开记录对这一缺口作出裁定。就实际操作而言,当下更可能的亏损路径不在代码,而在行为:一条引用这则安全新闻、催促用户尽快转账的钓鱼信息,抵达持币人手中的速度,会快过对该漏洞本身的任何实际利用。市场层面暂未见明显恐慌;我们的实时监测显示,TWT过去24小时下跌约4.7%,把安全新闻当市场新闻来读的持币人,可以通过TWT技术分析逐级查看点位背景。