主要洞察
- 加密新闻 包含币安创始人赵长鹏对两个关键 PHP 漏洞的警告。
- 由于漏洞细节在网上泄露，PHP 开发者将安全补丁的发布时间提前到了 10 月 21 日。
- 研究人员检测到了利用企图，但尚无 得到确认 钱包或 交易所 事件与这些漏洞相关联。
在币安创始人赵长鹏警告用户注意两个关键的 PHP 漏洞后，加密货币新闻将焦点转向了网站安全。10 月 22 日，他呼吁大家在未来几天浏览网页时保持警惕。
这些漏洞可能让攻击者在未经身份验证的情况下在受影响的服务器上执行代码。受影响的安装 支撑 支持包括 WordPress、Magento、Drupal 和 Joomla 在内的平台。
由于信息在计划披露前泄露，开发者于 10 月 21 日发布了紧急补丁。研究人员已经检测到攻击企图，同时部分管理员可能仍需更新其系统。目前尚无 得到确认 涉及加密货币交易所或用户钱包的事件与新披露的漏洞有直接关联。
加密新闻警告凸显未修补网站带来的风险
赵长鹏将其加密新闻警告与可能尚未安装最新安全更新的网站管理员联系起来。他的警告涉及攻击者可能通过易受攻击的 PHP 安装进行入侵的网站。
PHP 运行在全球数百万个网站上。这些漏洞影响了服务器基础设施，攻击者可能利用这些漏洞访问敏感信息或修改内容。
对于加密货币新闻读者而言，区别在于攻击的发起地点。访问 PHP 网站并不会自动危及设备或加密货币钱包。
然而，控制服务器的攻击者可能会篡改登录页面或引入欺诈性的钱包连接请求。由此带来的风险取决于他们所获得访问权限。
币安创始人发布此警告的背景是针对加密货币用户的网络钓鱼活动屡见不鲜。先前的报道曾描述了搜寻助记词的假 Ledger 网站，以及通过受损基础设施分发的 Trezor 钓鱼邮件。
这两起事件均未与新披露的 PHP 漏洞建立联系。
关键 PHP 漏洞触发加速安全版本发布
PHP 基金会将这些漏洞识别为 CVE-2026-109618 和 CVE-2026-109619。两者的严重程度评分均为 10 分中的 9.2 分。
第一个漏洞涉及 PHP 在某些操作期间达到配置的内存限制时的内存损坏。在特定条件下，对部分初始化数据的错误处理可能会允许未经授权的代码执行。
第二种情况涉及在 PHP 释放关联内存后，内部引用仍然处于可访问状态。研究人员演示了针对运行在受影响服务器上的应用程序的代码执行攻击。
基金会 得到确认 在默认的 Apache 配置下使用 mod_php 进行利用。研究人员还演示了涉及 PHP-FPM 的攻击路径。
开发人员于 10 月 21 日发布了 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 版本。官方公告敦促立即进行更新，因为临时保护措施无法完全消除风险。
不受支持的 PHP 分支可能需要依赖托管服务提供商或软件供应商提供的单独修复程序。
加密货币新闻快讯在协同披露前的泄露事件后发布
漏洞标识符于 10 月 20 日出现在论坛和社交媒体上。这些帖子带有不正确的 10.0 严重性评分和不准确的发布时间表。
最初的泄露并未包含任何技术利用说明。加密货币新闻的警告是在披露流程因更多资料而受到干扰之后发出的 流通中 在线。
安全公司 Calif 随后错误地发布了一段概念验证视频。视频被删除后副本仍在流传，研究人员也开发了更多的利用演示。
PHP 团队将原定于 10 月 22 日的发布时间提前了一天。这为软件分发商争取了准备更新的时间，同时缩短了在没有可用补丁的情况下技术细节流传的时间窗口。基金会还批评 Chainguard 在协同披露前六个多小时发布了打了补丁的软件镜像。
它表示攻击者可以在公开宣布之前检查这些更改。Cloudflare 在披露前部署了防火墙保护，并与来自 OpenAI、Wiz 及其他组织的研究人员展开合作。
Cloudflare 将这些漏洞命名为 PHP2Shell，并指出了包括远程代码执行、服务中断和敏感数据暴露在内的风险。
加拿大网络安全中心敦促运营面向互联网的 PHP 应用程序的组织识别易受攻击的安装并应用可用的更新。
Arnold Kirimi 