幣安創辦人趙長鵬警告加密貨幣用戶，在未來幾天造訪網站時應格外謹慎，因為在全球數百萬個網站所使用的程式語言 PHP 中發現了兩個重大漏洞。
摘要
- 在發現兩個重大 PHP 漏洞後，幣安創辦人趙長鵬呼籲加密貨幣用戶造訪網站時應保持謹慎。
- 這些漏洞可能讓攻擊者在受影響的伺服器上執行惡意程式碼，包括運行 WordPress 和 Magento 等熱門平台的伺服器。
- PHP 開發人員於 10 月 21 日發布緊急安全修補程式，此前漏洞細節在預定揭露前已外洩。
- 安全研究人員已偵測到漏洞利用嘗試，但目前尚無確認事件直接將加密貨幣交易所或用戶錢包受影響的情況與這些漏洞相關聯。
在 10 月 22 日的警告中，趙長鵬指出兩個被識別為 CVE-2026-109618 和 CVE-2026-109619 的安全漏洞，這些漏洞可能讓攻擊者在無需驗證的情況下，於易受攻擊的網頁伺服器上執行惡意程式碼。
「說我偏執也罷，但未來幾天造訪任何網站時都要格外小心，」趙長鵬寫道，並解釋有些網站管理員可能尚未安裝最新的安全修補程式。
這些漏洞影響支援熱門內容管理與電子商務平台的 PHP 安裝，包括 WordPress、Magento、Drupal 和 Joomla。成功利用漏洞可能讓攻擊者入侵網站基礎設施、存取敏感資訊或修改提供給訪客的內容。
儘管趙長鵬的警告是針對網站使用者，但這些底層漏洞影響的是伺服器，並不代表造訪任何以 PHP 為基礎的網站就會自動危害個人裝置或加密貨幣錢包。
PHP 漏洞讓攻擊者得以遠端執行程式碼
根據 PHP 基金會的安全揭露，這兩個漏洞的嚴重性評分均為 10 分中的 9.2 分，涉及該程式語言記憶體管理與錯誤處理系統的弱點。
第一個漏洞 CVE-2026-109618 涉及 PHP 在某些操作期間達到其設定的記憶體上限時的記憶體損毀。在特定條件下，伺服器可能錯誤處理部分初始化的資料，讓攻擊者得以執行未經授權的程式碼。
同時，CVE-2026-109619 涉及在相關記憶體被釋放後仍可存取的內部記憶體參照。研究人員證明，攻擊者可利用該弱點對受影響伺服器上運行的應用程式執行程式碼。
該基金會確認，在使用 mod_php 的 Apache 伺服器預設配置下，漏洞利用是可能的，而研究人員還展示了涉及 PHP-FPM 的其他攻擊途徑。
在揭露之後，開發人員於 10 月 21 日發布了修補版本 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。
PHP 官方公告敦促管理員立即更新，並警告臨時防護措施無法完全消除風險。
較舊的 PHP 安裝仍是一大隱憂，因為該專案支援分支之外的版本可能依賴由主機供應商或軟體廠商另行提供的安全修正。
緊急修補程式已發布
在 PHP 安全團隊完成其預定揭露流程之前，有關這些漏洞的細節便已開始流傳。
據該基金會表示，這兩個漏洞識別碼於10月20日出現在線上論壇和社群媒體上，並附帶了不正確的嚴重性評分10.0以及不準確的發布時程。
儘管最初的洩露並未包含技術性漏洞利用說明，安全公司Calif隨後誤發布了一段概念驗證影片，展示了針對多個目標的攻擊。
在原始影片被移除後，副本仍持續流傳，促使研究人員開發更多漏洞利用示範。
PHP團隊隨後將其預定的安全版本發布時間從10月22日提前至10月21日，讓軟體發行商有時間準備更新，同時縮短了技術資訊在無修補程式可用的情況下流傳的時間。
該基金會另行批評安全供應商Chainguard在協調發布前超過六小時就發布了已修補的軟體映像檔，可能讓攻擊者在公開披露之前檢視這些變更。
安全公司Cloudflare在漏洞公開前部署了防火牆防護，並與來自OpenAI、Wiz及其他參與披露的組織的研究人員合作。
Cloudflare表示，這些統稱為PHP2Shell的漏洞可能使受影響的伺服器面臨遠端程式碼執行、服務中斷和敏感資料外洩的風險。
加密貨幣用戶是否面臨遭入侵網站的風險？
趙的警告發出之際，加密貨幣用戶持續面臨依賴詐騙網站和欺騙性錢包憑證請求的網路釣魚活動。
上週，crypto.news報導假冒Ledger網站出現在Google搜尋結果中，攻擊者試圖透過冒充合法軟體的頁面收集錢包恢復短語。
另一起事件中，攻擊者利用Trezor網路釣魚電子郵件和遭入侵的第三方基礎設施，向加密貨幣客戶散布詐騙安全訊息。
然而，遭入侵的PHP伺服器可能讓攻擊者更改網站內容或引入詐騙登入和錢包連接請求，具體取決於所獲得的存取權限。
截至發稿時，尚無已確認的報告顯示有加密貨幣交易所或用戶錢包的安全事件與新披露的PHP漏洞直接相關。
加拿大網路安全中心已敦促運行面向網際網路PHP應用程式的組織識別存在漏洞的安裝並立即套用可用的安全更新。
