Immunefi CEO：PHP 漏洞印证 AI 驱动的漏洞末日，吁警惕钱包风险

所属事件

PHP漏洞修复后仍有大量主机未更新

PHP2Shell两个漏洞（CVE-2026-109618、CVE-2026-109619）的修复版本于10月21日发布，但需手动安装并重启才生效，PHP 8.1及更早版本不再有官方更新。安全公司Mallory统计约88.4万台面向互联网的主机仍运行无官方修复的PHP版本。Cloudflare首席执行官Matthew Prince称漏洞公开后24小时内利用尝试达数百万次；德国BSI与日本政府表示尚未确认成功入侵，目前尚无加密公司被利用或用户资金损失的报告。

相关报道

同一消息的其他来源与事件进展；转载数量不等于独立核验。

• 同一消息深潮 TechFlow · Web3 资讯2026-10-26 23:06

  Immunefi CEO 警告 PHP 漏洞或致网站数周内仍可被利用

  查看摘要与出处

  据 Cointelegraph 报道，Immunefi 首席执行官 Mitchell Amador 表示，小型网站升级补丁较慢，可能需数周才能完成更新，他建议未来数周避免重复使用密码、谨慎连接加密钱包并撤销未识别的代币授权。Cloudflare 首席执行官 Matthew Prince 称漏洞公开后 24 小时内已记录数百万次利用尝试；FBI 警告该漏洞可能允许在 PHP 核心中远程执行代码。

  核对原文 ↗

• 同一消息Cointelegraph2026-10-26 22:25

  Immunefi CEO 称 PHP 漏洞印证 AI 时代“漏洞末日”如期而至

  查看摘要与出处

  Immunefi CEO Mitchell Amador 表示，PHP 关键漏洞印证了 AI 使漏洞发现变便宜、修复仍昂贵的“漏洞末日”，未来数周内用户应假定登录的网站可能已被攻破，避免重复使用密码、谨慎连接加密钱包并撤销不认识的代币授权。此前 PHP 基金会承认因资源不足推迟修复该 2024 年首次发现的漏洞，并于同日发布两个关键漏洞的紧急补丁，但各网站仍需自行升级。Cloudflare CEO Matthew Prince 称漏洞公开后 24 小时内出现数百万次利用尝试；W3Techs 估计 PHP 驱动约 69% 已知服务端编程语言的网站，FBI 网络部门警告该漏洞可能被用于远程执行代码。

  核对原文 ↗

• 同一事件的进展Decrypt2026-10-23 06:21

  PHP2Shell漏洞修复后：网站是否安全、是否需要改密码

  查看摘要与出处

  Decrypt 梳理 PHP 两个漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）修复后的状况：PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，但需手动安装并重启才生效，PHP 8.1 及更早版本不再有官方更新。Cloudflare CEO Matthew Prince 称其网络上利用尝试已达数百万次；Amazon 称诱饵服务器 10 月 17 日就记录到尝试，早于漏洞公开；德国 BSI 与日本政府均表示尚未确认有成功入侵。PHP 基金会称 2024 年已发现相关内存耗尽问题的早期迹象，将修复延迟归为“结构性失败”。英国 NCSC 建议无法及时修补的机构下线系统，Wikimedia、Orange、32 项英国政府服务等一度下线。安全公司 Mallory 统计约 88.4 万台面向互联网的主机仍运行无官方修复的 PHP 版本。文章建议普通用户暂不必因该事件改密码，但注意钓鱼与假站点；加密货币用户需警惕伪造页面诱导连接钱包并签名转账，目前尚无交易所公开报告与该漏洞相关的入侵。

  核对原文 ↗

• 同一事件的进展Bitcoin.com News · 海外资讯2026-10-22 18:30

  Coinbase、Bitgo 称未受 PHP 漏洞影响，CZ 提醒用户谨慎访问网站

  查看摘要与出处

  PHP 高危漏洞公开后，Coinbase、Bitgo 称未发现受影响，Pancakeswap、Bitget Wallet 表示不使用 PHP，Binance 称已在官方补丁发布前完成防护与修复；Cloudflare CEO Matthew Prince 称漏洞公开后其网络上的利用尝试从数千次增至数百万次，Amazon 发现可追溯至 10 月 17 日的攻击尝试。美国 NSA 与 CISA 建议无法及时打补丁的机构将 PHP 系统下线；接受加密货币支付的小型商户因依赖自身或主机更新而面临更高风险。此外，印度证书机构 eMudhra 有八张中间证书私钥强度过弱，Lightning Labs CTO Olaoluwa Osuntokun 呼吁用户立即更新软件。目前尚无加密公司被利用或用户资金损失的报告。

  核对原文 ↗

以下按资产或主题关联，供比较阅读，属于不同消息。

• 同主题资料Odaily 星球日报 · 重要快讯2026-10-26 23:34

  Ritual 主网上线并发行 RITUAL 代币，初始流通 18%、空投占 0.5%

  查看摘要与出处

  去中心化 AI 计算平台 Ritual 基金会宣布主网正式上线，原生代币 RITUAL 同步发行，可用于支付 Gas、模型调用、HTTP 请求及定时执行等费用。RITUAL 初始供应量为 100 亿枚，无供应上限，年化增发率约 5%，并采用 EIP-1559 机制销毁交易基础费用；上线时解锁 18 亿枚，占初始供应量的 18%。分配方面，核心贡献者占 29%、生态增长及研发占 25%、网络参与及未来激励占 14%、Labs 投资者占 11.3%、Ritual 基金会占 10%，核心贡献者及投资者代币锁定一年、四年内解锁完毕。Ritual 将向符合条件的 Infernet 节点运营者、Frenrug 用户及长期社区成员空投 5000 万枚 RITUAL（占 0.5%），上线即全部解锁；Coinbase 已宣布于今日上线 RITUAL 现货交易。

  核对原文 ↗

• 同主题资料PANews2026-10-26 23:24

  PeckShield：X100攻击者地址向Tornado Cash存入821.2枚ETH

  查看摘要与出处

  PANews 10月26日消息，据PeckShieldAlert报道，被标记为X100攻击者的地址已向混币器Tornado Cash存入821.2枚ETH（约189万美元）。X100于10月24日遭闪电贷治理攻击，损失约475万美元，其代币X在24小时内下跌96%。

  核对原文 ↗