摘要

  • 在 PHP 被發現存在兩個嚴重漏洞後，幣安創始人趙長鵬提醒加密貨幣用戶，訪問任何網站時都要“格外小心”。

  • 這些漏洞的嚴重性評分爲 9.2 分（滿分 10 分），攻擊者無需登錄即可在服務器上運行代碼。

  • 細節提前在網上泄露後，PHP 於 10 月 21 日發佈了緊急補丁。

  • 歐洲、澳大利亞等地的政府出於謹慎，暫時關閉了網站。

  • Coinbase 和 BitGo 表示未受影響，也沒有加密貨幣損失被證實與這些漏洞有關。

在 PHP 被發現存在兩個嚴重安全漏洞後，幣安創始人趙長鵬提醒加密貨幣用戶上網時要格外小心。PHP 是一種爲全球數百萬個網站提供支持的編程語言。

“你們可以說我多疑，但接下來幾天訪問任何網站時都要格外小心，”趙在10月22日寫道。他說，一些網站管理員可能還沒有安裝最新的安全補丁。

你們可以說我多疑，但接下來幾天訪問任何網站時都要格外小心，因爲有些網站管理員並不總能及時安裝安全補丁。

PHP（這種網頁編程語言）被曝存在兩個漏洞（CVE-2026-109618 和 CVE-2026-109619），影響服務器……

— CZ 🔶 BNB (@cz_binance) 2026年10月21日

這兩個漏洞編號爲 CVE-2026-109618 和 CVE-2026-109619，攻擊者可能利用它們在無需登錄的情況下，在 Web 服務器上運行惡意代碼。使用 WordPress、Magento、Drupal 和 Joomla 等平臺搭建的網站都可能受到影響。

這些漏洞影響的是服務器，不會直接影響訪問者。訪問基於 PHP 的網站不會自動讓個人設備或加密貨幣錢包面臨風險。

PHP 漏洞的工作原理

PHP 基金會爲這兩個漏洞評定的嚴重程度均爲 9.2 分（滿分 10 分）。它們與 PHP 管理內存和處理錯誤的方式有關。

第一個漏洞涉及 PHP 達到內存限制時發生的內存損壞。第二個漏洞則涉及已釋放但仍可訪問的內存。安全公司 Cloudflare 將這兩個漏洞合稱爲“PHP2Shell”。

PHP 於10月21日發佈了修復版本 8.2.35、8.3.36、8.4.27 和 8.5.12。基金會敦促管理員立即更新。

相關細節於10月20日在線泄露，當時公佈的嚴重程度評分有誤，標爲 10.0。隨後，安全公司 Calif 意外發布了概念驗證視頻，PHP 團隊因此將補丁發佈時間提前了一天。

基金會承認，他們在2024年就已發現問題的跡象。基金會稱，修復延誤是由決策流程和資源不足造成的“結構性失誤”。

Calif 和 OpenAI 後來於8月11日也報告了同一問題，該問題因此被列爲最高優先級。

各國政府和加密貨幣公司作出迴應

週三，世界各地的政府機構出於預防考慮，暫時關閉了一些網站。荷蘭關閉了其數字身份服務，芬蘭、法國和德國則停用了多個公共網站。

澳大利亞的網絡安全網站也受到影響。日本首相高市早苗敦促網站運營方儘快應用補丁。

維基媒體基金會暫時關閉了部分支持服務，導致維基百科的部分內容無法訪問。

在加密貨幣領域，安全公司 SlowMist 在其檢查的 1,488 個加密貨幣相關域名中，發現有 793 個域名帶有直接的 PHP 指紋。該公司敦促交易所、DeFi 平臺和錢包服務商升級系統。

支持 Cardano 開發的 Intersect 在評估自身受影響情況期間，暫時關閉了會員專區。Coinbase 表示未發現暴露在外的 PHP 實例，BitGo 則稱其平臺未受影響。

趙的警告緊隨近期針對加密貨幣用戶的網絡釣魚攻擊而來，其中包括出現在 Google 搜索結果中的假 Ledger 網站。遭入侵的 PHP 服務器可能讓攻擊者篡改網站內容，或添加虛假的錢包連接請求。

PHP 安全團隊表示，在漏洞披露時尚未發現任何可用的攻擊利用程序。截至發稿時，尚無加密貨幣交易所或用戶錢包發生的安全事件被證實與這些漏洞有關。

文章《幣安創始人 CZ 就 PHP 嚴重安全漏洞向加密貨幣用戶發出警告》最先發表於 Blockonomi。

#CZ