🔍 七成网站裸奔，币圈先发的是声明
10月21日14:00 UTC，PHP 官方发公告。两个漏洞，CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 都是9.2，未授权远程代码执行。修好的版本是 8.5.12、8.4.27、8.3.36、8.2.35。凡是用 PHP 处理网页请求的全部在射程里，PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP、LiteSpeed。官方点了 mod_php 风险最高，请求还没进你的业务代码就能触发。
攻击曲线是这样。Cloudflare 的 CEO Matthew Prince 记了一组数。公告前十小时，几千次试探。45分钟后，几万次。两小时，几十万次。现在，几百万次。有专家估，全球七成网站都在这条射程上。
美国和英国的政府站点临时下线去打补丁，美国 NSA 也发了预警。Wiz 的评价是，这是 PHP 历史上、也可能是软件史上最严重的漏洞之一，几个底层毛病存在了几十年，要串成一条能打的链，需要人类研究员几乎做不到的复杂度。
所以发现它的是 AI。人没这么快。8月一位研究员先挖出第一个，Wiz Research 和 OpenAI 补了剩下的。Sam Altman 那句话我认为最实在，他说他不再认为我们能把所有 bug 都打上补丁。
23日又来第三个，CVE-2026-115560。PHP 说触发条件很刁钻，放进常规发布周期，先建议把 session.upload_progress 关掉。
币圈这一层的动作是发声。BNB Chain 说技术栈里没有 PHP，Trust Wallet 说了同样的话，CZ 在 X 上提醒，叫我偏执也好，这几天访问任何网站都格外小心。声明比补丁跑得快。这是实话。
真正要看的是另一面，风险不在链上。这两个洞碰不到智能合约，也碰不到冷钱包。它碰的是 dApp 前端、KYC 门户、交易所后台、钱包连接页，也就是你亲手敲助记词的那个页面。前端被塞进盗币脚本，底下合约再干净也没用。细节里最狠的一条，光一个 PHP 的 cookie，就可能漏出会话令牌、API 密钥，甚至 TLS 私钥。
币圈喊了很多年别信、去验证。验证到代码层就断了，没有用户能核出某个平台后台跑的是哪个小版本 PHP。这轮里能自己控制的只有两件事，陌生页面不连钱包，从搜索广告点进去的站不填任何东西。
行情没把这当回事。零反应。我写这段时 BTC 四个报价源落在 80,800 到 80,911 美元，24小时跌0.6%。ETH 2,368 到 2,372。跌的原因不是这个。
$BTC $ETH
#中本聪国际社区Baoluo币商资本 #Bitcoin #网络安全
10月21日14:00 UTC，PHP 官方发公告。两个漏洞，CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 都是9.2，未授权远程代码执行。修好的版本是 8.5.12、8.4.27、8.3.36、8.2.35。凡是用 PHP 处理网页请求的全部在射程里，PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP、LiteSpeed。官方点了 mod_php 风险最高，请求还没进你的业务代码就能触发。
攻击曲线是这样。Cloudflare 的 CEO Matthew Prince 记了一组数。公告前十小时，几千次试探。45分钟后，几万次。两小时，几十万次。现在，几百万次。有专家估，全球七成网站都在这条射程上。
美国和英国的政府站点临时下线去打补丁，美国 NSA 也发了预警。Wiz 的评价是，这是 PHP 历史上、也可能是软件史上最严重的漏洞之一，几个底层毛病存在了几十年，要串成一条能打的链，需要人类研究员几乎做不到的复杂度。
所以发现它的是 AI。人没这么快。8月一位研究员先挖出第一个，Wiz Research 和 OpenAI 补了剩下的。Sam Altman 那句话我认为最实在，他说他不再认为我们能把所有 bug 都打上补丁。
23日又来第三个，CVE-2026-115560。PHP 说触发条件很刁钻，放进常规发布周期，先建议把 session.upload_progress 关掉。
币圈这一层的动作是发声。BNB Chain 说技术栈里没有 PHP，Trust Wallet 说了同样的话，CZ 在 X 上提醒，叫我偏执也好，这几天访问任何网站都格外小心。声明比补丁跑得快。这是实话。
真正要看的是另一面，风险不在链上。这两个洞碰不到智能合约，也碰不到冷钱包。它碰的是 dApp 前端、KYC 门户、交易所后台、钱包连接页，也就是你亲手敲助记词的那个页面。前端被塞进盗币脚本，底下合约再干净也没用。细节里最狠的一条，光一个 PHP 的 cookie，就可能漏出会话令牌、API 密钥，甚至 TLS 私钥。
币圈喊了很多年别信、去验证。验证到代码层就断了，没有用户能核出某个平台后台跑的是哪个小版本 PHP。这轮里能自己控制的只有两件事，陌生页面不连钱包，从搜索广告点进去的站不填任何东西。
行情没把这当回事。零反应。我写这段时 BTC 四个报价源落在 80,800 到 80,911 美元，24小时跌0.6%。ETH 2,368 到 2,372。跌的原因不是这个。
$BTC $ETH
#中本聪国际社区Baoluo币商资本 #Bitcoin #网络安全