PHP2Shell漏洞修复后：网站是否安全、是否需要改密码
Is the Internet Safe Again After the PHP Nightmare? What You Need to Know
内容摘要
Decrypt 梳理 PHP 两个漏洞（CVE-2026-109618、CVE-2026-109619，合称 PHP2Shell）修复后的状况：PHP 于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，但需手动安装并重启才生效，PHP 8.1 及更早版本不再有官方更新。Cloudflare CEO Matthew Prince 称其网络上利用尝试已达数百万次；Amazon 称诱饵服务器 10 月 17 日就记录到尝试，早于漏洞公开；德国 BSI 与日本政府均表示尚未确认有成功入侵。PHP 基金会称 2024 年已发现相关内存耗尽问题的早期迹象，将修复延迟归为“结构性失败”。英国 NCSC 建议无法及时修补的机构下线系统，Wikimedia、Orange、32 项英国政府服务等一度下线。安全公司 Mallory 统计约 88.4 万台面向互联网的主机仍运行无官方修复的 PHP 版本。文章建议普通用户暂不必因该事件改密码，但注意钓鱼与假站点；加密货币用户需警惕伪造页面诱导连接钱包并签名转账，目前尚无交易所公开报告与该漏洞相关的入侵。
来源：Decrypt · decrypt.co
打开原文所属事件
PHP漏洞修复后仍有大量主机未更新
PHP于10月21日发布两个漏洞（合称PHP2Shell）的修复版本8.5.12、8.4.27、8.3.36、8.2.35，但需网站管理员手动安装并重启才生效，PHP 8.1及更早版本不再有官方更新。Cloudflare首席执行官Matthew Prince称其网络上利用尝试已达数百万次；Amazon称诱饵服务器10月17日就记录到尝试，早于漏洞公开。安全公司Mallory统计约88.4万台面向互联网的主机仍运行无官方修复的PHP版本。德国BSI与日本政府表示尚未确认有成功入侵；目前尚无加密交易所公开报告与该漏洞相关的入侵，Coinbase、Bitgo此前称未发现受影响。
最新变化：新增修复版本细节、88.4万台未修复主机统计及多方未确认入侵的表态。
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
多签钱包与模块权限：为什么看签名人数还不够
多签阈值约束标准签名执行路径，钱包启用的模块可能拥有另一条执行权限。检查 Safe 等智能钱包，应同时核对所有者、阈值、模块和相关控制规则。
阅读完整说明 →相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一事件的进展Bitcoin.com News · 海外资讯
Coinbase、Bitgo 称未受 PHP 漏洞影响，CZ 提醒用户谨慎访问网站
查看摘要与出处
PHP 高危漏洞公开后，Coinbase、Bitgo 称未发现受影响，Pancakeswap、Bitget Wallet 表示不使用 PHP，Binance 称已在官方补丁发布前完成防护与修复；Cloudflare CEO Matthew Prince 称漏洞公开后其网络上的利用尝试从数千次增至数百万次，Amazon 发现可追溯至 10 月 17 日的攻击尝试。美国 NSA 与 CISA 建议无法及时打补丁的机构将 PHP 系统下线；接受加密货币支付的小型商户因依赖自身或主机更新而面临更高风险。此外，印度证书机构 eMudhra 有八张中间证书私钥强度过弱，Lightning Labs CTO Olaoluwa Osuntokun 呼吁用户立即更新软件。目前尚无加密公司被利用或用户资金损失的报告。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料PANews
FTX前高管Constance Wang怒斥Netflix新剧《The Altruists》：把金融诈骗拍成“爱情片”简直荒谬
查看摘要与出处
FTX前首席运营官Constance Wang在接受《纽约邮报》专访时怒斥Netflix新剧《The Altruists》以爱情故事角度呈现FTX崩盘“简直荒谬”，称自己看了约40秒预告片就生理性呕吐。她表示公司内部根本不知道SBF与Ellison在交往，且现实中的SBF无法与人保持眼神接触、Ellison说话轻声细语，与剧中形象反差巨大。Wang回忆崩盘当晚SBF凌晨3点才承认资金缺口约80亿美元，她个人投入FTX的资产从巅峰至少10亿美元最终只剩8万美元；美国司法部曾对她调查约一年但未起诉。FTX破产清算团队已追回约165亿美元，客户可获至少账户余额118%的偿付，但按2022年11月价格计算，当时比特币约1.6万美元。Wang于2025年联合创立加密交易平台Pacifica，据DefiLlama数据过去一个月交易量达100亿美元。
核对原文 ↗同主题资料PANews
美国纽约州金融服务局就关键PHP漏洞发布警报
同主题资料Bitcoin.com News · 海外资讯
中国检方申请没收英国持有的61,896枚比特币，价值约51亿美元
查看摘要与出处
据中国媒体《澎湃新闻》报道，天津市第二中级人民法院9月28日受理针对Qian Zhimin（又名Yadi Zhang）名下资产的没收申请，检方指认61,896.41552945 BTC及BCH、XRP、DOGE、现金、珠宝等财产，这批加密货币大部分仍由英国方面控制，按近期价格约值51亿美元。Qian在2014至2017年间以保本高回报为名从中国投资者处募集超过403.8亿元人民币（约57亿美元），2018年在英国被查获加密资产，2025年11月被判处有期徒刑11年8个月。英国高等法院10月裁定，判断受害人对被没收比特币是否拥有所有权适用中国法，受害人须证明法律认可的财产权而非仅证明损失；英国皇家检控署同时推进民事追缴程序，若受害人无法确立所有权，英国政府可保留该资产，英国财政部官员曾私下讨论用这笔资金缓解财政压力。中国程序设有六个月公示期供相关方参与，最终归属尚未确定。
核对原文 ↗同主题资料动区 BlockTempo · 中文资讯
DFINITY 创始人指控 NEAR Chain Signatures 与 NEAR Intents 使用其专有密码学成果，称涉法律责任
查看摘要与出处
DFINITY 创始人 Dominic Williams 发文指控 NEAR 的 Chain Signatures 与 NEAR Intents 采用了仅授权 ICP 使用的门槛 ECDSA 预签章算法，称涉及民事与刑事法律责任；NEAR 截至发稿前未正面回应。Williams 点名 DFINITY 研究员 Jens Groth 与 Victor Shoup 2021 年论文，称该预签章设计可让签章速度快约 3 倍，而 NEAR 官方文档在介绍加法密钥衍生时确实直接链接该公开论文。Williams 还引用 NEAR 的 GitHub PR #4503，称 NEAR 正降级为慢约 3 倍的简化版本，但该 PR 与相关 Issue #4324 均未提及 DFINITY，是否出于法律顾虑无从证实。NEAR 在其发文前半小时发布技术长文，称主网 MPC 已有 17 个独立营运者、门槛为 11/17 且全部运行于 TEE。文章指出该论文早已公开、NEAR MPC 代码以 MIT 授权开源，专有技术的法律定性仍是最大疑问。
核对原文 ↗同主题资料PANews
ZachXBT 警告用户从印度交易所 CoinDCX 撤资，称其延迟披露约 1600 万美元失窃
查看摘要与出处
PANews 10月22日消息，链上侦探 ZachXBT 发文警告用户，若重视资产安全应从印度加密货币交易所 CoinDCX 提取所有资金。他称该交易所联合创始人此前在公开及私下沟通中否认发生资产失窃，直到后来才披露约 1600 万美元失窃事件，批评其未能及时向公众透明披露。ZachXBT 还称 CoinDCX 联合创始人把交易所经营得像一场闹剧，并将 WazirX、BitBNS 等印度中心化交易所一并列入批评范围。
核对原文 ↗