PHP Foundation 承认结构失职致关键安全修复延误
PHP Foundation admits ‘structural failure’ delayed critical security fix
内容摘要
PHP Foundation 称，因决策迟疑和资源不足，2024 年发现的一个关键安全漏洞修复被拖延数月，称之为“结构性失败”；PHP 已发布两个相关关键漏洞的紧急补丁，漏洞可让未认证攻击者在受影响服务器上执行代码。8 月 11 日安全公司 Calif 和 OpenAI 独立报告同一问题、Calif 演示了远程代码执行后，此事被列为最高优先级。SlowMist 称在评估的 1,488 个域名中识别出 793 个带 PHP 指纹；PHP 安全团队称公开披露时未发现功能性利用。
来源：Cointelegraph · cointelegraph.com
打开原文所属事件
PHP基金会承认漏洞修复延误，多国政府网站临时下线
PHP基金会承认，因决策迟疑和资源不足，2024年发现的一个关键安全漏洞修复被拖延数月，称之为“结构性失败”。PHP已发布两个相关关键漏洞的紧急补丁，未认证攻击者可在受影响服务器上执行代码；8月11日Calif和OpenAI独立报告同一问题、Calif演示远程代码执行后，此事被列为最高优先级。SlowMist称在评估的1,488个域名中识别出793个带PHP指纹；PHP安全团队称公开披露时未发现功能性利用。
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息深潮 TechFlow · Web3 资讯
PHP基金会承认结构性失败致关键漏洞修复延迟，多国政府网站临时下线
查看摘要与出处
据Cointelegraph报道，PHP基金会承认一个自2024年就被发现的关键安全漏洞因安全团队决策流程不畅且人手不足而迟迟未修复，称此次延误是“结构性失败”；该漏洞可能让未经身份验证的攻击者在受影响服务器上远程执行代码。8月11日，安全公司Calif与OpenAI先后独立报告同一问题，Calif还演示了无条件远程代码执行，PHP随后发布针对两个相关高危漏洞的紧急补丁。补丁发布前后，荷兰、芬兰、法国、德国和澳大利亚的政府网站或服务被临时下线，荷兰关闭了数字身份服务，维基媒体基金会也下线部分支持服务。SlowMist的MistEye监测显示，1,488个被评估域名中793个带有直接PHP指纹；Cardano治理组织Intersect临时下线会员专区，Coinbase和BitGo称平台未受影响。PHP安全团队称公开披露时尚未发现可用的实际攻击程序，OpenAI已在GitHub发布Codex技能帮助运营者检查存在漏洞的PHP版本。
核对原文 ↗同一消息Odaily 星球日报 · 重要快讯
PHP Foundation承认安全漏洞修复延误，多国政府网站一度下线
查看摘要与出处
PHP Foundation 表示，因决策迟疑和资源不足，针对2024年首次发现的关键安全漏洞的修复多次停滞并重启，将延误定性为结构性失误。PHP已发布两项相关关键漏洞的紧急补丁，未经身份验证的攻击者可能借此在受影响服务器上无需登录执行代码；荷兰、芬兰、法国、德国及澳大利亚等地部分政府网站或在线服务一度下线以安装补丁。安全公司 Calif 与 OpenAI 于8月11日分别报告同一底层问题，Calif 还演示了无条件远程代码执行。SlowMist 调查显示，在评估的1488个加密行业域名中793个存在直接PHP指纹；Intersect 已暂时关闭其 Members Area，Coinbase 称未发现受影响的PHP实例，BitGo 称平台未受影响。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料动区 BlockTempo · 中文资讯
PHP2Shell 等漏洞致多国网站下线，动区整理近期上网自保 5 点建议
查看摘要与出处
PHP 两个漏洞合称 PHP2Shell，PHP 官方评为重大，CVSS v4.0 评分 9.2，属远端代码执行，据 W3Techs 约七成网站使用 PHP；修补版发布前细节已外泄，荷兰、德国、日本等多国政府与大型服务预防性下线，官方多称未发现入侵。作者建议读者这几周注意：不点邮件里的紧急更新或重设密码链接、常用网站打不开先等官方公告、看到要求下载浏览器更新或贴指令的页面立即关闭、在不熟的小网店结账优先用有即时交易通知的信用卡或第三方支付、重要账号开两步验证并使用不同强密码。目前查无交易所或钱包因 PHP2Shell 遭入侵的报告，作者建议从书签进入交易所、API 金钥设 IP 白名单并关闭提领功能。
核对原文 ↗同主题资料Odaily 星球日报 · 重要快讯
Dragonfly管理合伙人Haseeb Qureshi称网络安全领域出现攻击浪潮
查看摘要与出处
Odaily星球日报讯，据Dragonfly管理合伙人Haseeb Qureshi监测，网络安全领域正出现攻击浪潮，加密行业首当其冲。他表示链上黑客事件是网络安全领域的金丝雀，因为链上是网络攻击最容易变现的场所。他援引数据称，链上被黑事件数量上升，但被盗金额年化规模与2025年大致相当，单起事件损失下降；小型协议大多已被攻破，大型协议则借助AI工具加强防护。他预计更广泛的互联网领域也将出现类似情况。
核对原文 ↗同主题资料PANews
D-Wallet：Guardian Sign 构建三重防护，降低单一凭证泄露风险
查看摘要与出处
D-Wallet 官方发文介绍其 Guardian Sign（守护签）功能的多层安全机制：单独持有交易钱包私钥无法提取多签存储账户中的资产；通过 Guardian Passphrase 恢复资产时仍需配对交易钱包签名，且资金只能返回该钱包地址；将存储资产转移至其他地址也需多重签名授权。D-Wallet 表示，该设计旨在将日常交易与资产存储分开管理，降低单一凭证泄露对存储资产造成的安全风险。
核对原文 ↗同主题资料深潮 TechFlow · Web3 资讯
Nina Rong：BNB Chain 的技术栈中未使用 PHP
查看摘要与出处
BNB Chain 增长执行董事 Nina Rong 10 月 22 日发文称，BNB Chain 的技术栈中未使用 PHP，并提醒用户注意安全。此前 NSA Cyber 发布通告，要求所有使用 PHP 构建系统的组织做好准备，迎接旨在修复两个严重漏洞的更新；PHP 被广泛用于 Web 应用程序，这类漏洞通常可能提供直接访问服务器文件系统的途径。
核对原文 ↗