Immunefi CEO 称 PHP 漏洞印证 AI 时代“漏洞末日”如期而至
PHP flaw shows AI ‘vulnerability apocalypse’ is on schedule: Immunefi CEO
内容摘要
Immunefi CEO Mitchell Amador 表示，PHP 关键漏洞印证了 AI 使漏洞发现变便宜、修复仍昂贵的“漏洞末日”，未来数周内用户应假定登录的网站可能已被攻破，避免重复使用密码、谨慎连接加密钱包并撤销不认识的代币授权。此前 PHP 基金会承认因资源不足推迟修复该 2024 年首次发现的漏洞，并于同日发布两个关键漏洞的紧急补丁，但各网站仍需自行升级。Cloudflare CEO Matthew Prince 称漏洞公开后 24 小时内出现数百万次利用尝试；W3Techs 估计 PHP 驱动约 69% 已知服务端编程语言的网站，FBI 网络部门警告该漏洞可能被用于远程执行代码。
来源：Cointelegraph · cointelegraph.com
打开原文所属事件
PHP漏洞修复后仍有大量主机未更新
PHP2Shell两个漏洞（CVE-2026-109618、CVE-2026-109619）的修复版本于10月21日发布，但需手动安装并重启才生效，PHP 8.1及更早版本不再有官方更新。安全公司Mallory统计约88.4万台面向互联网的主机仍运行无官方修复的PHP版本。Cloudflare首席执行官Matthew Prince称漏洞公开后24小时内利用尝试达数百万次；德国BSI与日本政府表示尚未确认成功入侵，目前尚无加密公司被利用或用户资金损失的报告。
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息深潮 TechFlow · Web3 资讯
Immunefi CEO 警告 PHP 漏洞或致网站数周内仍可被利用
查看摘要与出处
据 Cointelegraph 报道，Immunefi 首席执行官 Mitchell Amador 表示，小型网站升级补丁较慢，可能需数周才能完成更新，他建议未来数周避免重复使用密码、谨慎连接加密钱包并撤销未识别的代币授权。Cloudflare 首席执行官 Matthew Prince 称漏洞公开后 24 小时内已记录数百万次利用尝试；FBI 警告该漏洞可能允许在 PHP 核心中远程执行代码。
核对原文 ↗同一消息ChainCatcher 链捕手 · 中文资讯
Immunefi CEO：PHP 漏洞印证 AI 驱动的漏洞末日，吁警惕钱包风险
查看摘要与出处
ChainCatcher 消息，漏洞赏金平台 Immunefi CEO Mitchell Amador 警告，PHP 漏洞印证了 AI 使发现漏洞成本降低而修复成本依然高昂的漏洞末日正按计划到来，建议用户未来几周避免重复使用密码、谨慎连接加密钱包并撤销无法识别的代币授权。Cloudflare CEO Matthew Prince 称漏洞公开披露后 24 小时内网络记录数百万次利用尝试；W3Techs 估计 PHP 支持约 69% 拥有已知服务器端编程语言的网站。
核对原文 ↗同一事件的进展Decrypt
PHP2Shell漏洞修复后：网站是否安全、是否需要改密码
查看摘要与出处
Decrypt 梳理 PHP 两个漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）修复后的状况：PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，但需手动安装并重启才生效，PHP 8.1 及更早版本不再有官方更新。Cloudflare CEO Matthew Prince 称其网络上利用尝试已达数百万次；Amazon 称诱饵服务器 10 月 17 日就记录到尝试，早于漏洞公开；德国 BSI 与日本政府均表示尚未确认有成功入侵。PHP 基金会称 2024 年已发现相关内存耗尽问题的早期迹象，将修复延迟归为“结构性失败”。英国 NCSC 建议无法及时修补的机构下线系统，Wikimedia、Orange、32 项英国政府服务等一度下线。安全公司 Mallory 统计约 88.4 万台面向互联网的主机仍运行无官方修复的 PHP 版本。文章建议普通用户暂不必因该事件改密码，但注意钓鱼与假站点；加密货币用户需警惕伪造页面诱导连接钱包并签名转账，目前尚无交易所公开报告与该漏洞相关的入侵。
核对原文 ↗同一事件的进展Bitcoin.com News · 海外资讯
Coinbase、Bitgo 称未受 PHP 漏洞影响，CZ 提醒用户谨慎访问网站
查看摘要与出处
PHP 高危漏洞公开后，Coinbase、Bitgo 称未发现受影响，Pancakeswap、Bitget Wallet 表示不使用 PHP，Binance 称已在官方补丁发布前完成防护与修复；Cloudflare CEO Matthew Prince 称漏洞公开后其网络上的利用尝试从数千次增至数百万次，Amazon 发现可追溯至 10 月 17 日的攻击尝试。美国 NSA 与 CISA 建议无法及时打补丁的机构将 PHP 系统下线；接受加密货币支付的小型商户因依赖自身或主机更新而面临更高风险。此外，印度证书机构 eMudhra 有八张中间证书私钥强度过弱，Lightning Labs CTO Olaoluwa Osuntokun 呼吁用户立即更新软件。目前尚无加密公司被利用或用户资金损失的报告。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料PANews
PeckShield：X100攻击者地址向Tornado Cash存入821.2枚ETH
查看摘要与出处
PANews 10月26日消息，据PeckShieldAlert报道，被标记为X100攻击者的地址已向混币器Tornado Cash存入821.2枚ETH（约189万美元）。X100于10月24日遭闪电贷治理攻击，损失约475万美元，其代币X在24小时内下跌96%。
核对原文 ↗同主题资料PANews
Ledger Atom 设有物理隐私开关，可从电路层面切断摄像头和麦克风电源
查看摘要与出处
Ledger 公布新设备 Ledger Atom 的物理隐私开关（Privacy Switch），拨动后可从电路层面切断摄像头和麦克风供电，Ledger 称任何应用、恶意软件或远程攻击者都无法将其重新开启。设备上的 Secure Bar 会显示开关位置；在 Secure Mode 下，无论开关处于什么位置，摄像头和麦克风都保持断电。Ledger 同时开放 Ledger Atom 创始版（Founders Edition）预订。
核对原文 ↗