币安创始人赵长鹏（Changpeng Zhao，CZ）警告加密货币用户，在未来几天访问网站时要格外谨慎，因为全球数百万网站使用的编程语言 PHP 被发现存在两项严重漏洞。

赵长鹏在10月22日的警告中提到，这两项安全漏洞分别被标识为 CVE-2026-109618 和 CVE-2026-109619，可能让攻击者在无需身份验证的情况下，在存在漏洞的 Web 服务器上执行恶意代码。

“也许我有点过于谨慎，但接下来几天访问任何网站都要格外小心，”赵长鹏写道，并解释说，一些网站管理员可能尚未安装最新安全补丁。

这些漏洞影响支持 WordPress、Magento、Drupal 和 Joomla 等热门内容管理和电商平台的 PHP 安装。成功利用这些漏洞，攻击者可能破坏网站基础设施、访问敏感信息，或篡改向访客展示的内容。

尽管赵长鹏的提醒是面向网站用户，但底层漏洞影响的是服务器，并不意味着访问任何基于 PHP 的网站都会自动危及个人设备或加密货币钱包。

PHP 漏洞可让攻击者远程执行代码

根据 PHP Foundation 的安全披露，这两个漏洞的严重性评分均为 9.2 分，涉及该编程语言内存管理和错误处理系统中的弱点。

第一个漏洞 CVE-2026-109618 涉及 PHP 在某些操作中达到配置的内存上限时出现的内存损坏。在特定条件下，服务器可能错误处理部分初始化的数据，从而让攻击者执行未授权代码。

另一个漏洞 CVE-2026-109619 涉及内部内存引用在相关内存释放后仍可访问。研究人员演示称，攻击者可利用这一弱点，对运行在受影响服务器上的应用执行代码。

该基金会确认，在使用 mod_php 的 Apache 服务器默认配置下，这些漏洞可被利用，研究人员还演示了涉及 PHP-FPM 的其他攻击路径。

在披露之后，开发者于10月21日发布了 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 的修补版本。

PHP 官方安全公告敦促管理员立即更新，并警告称临时防护措施无法完全消除风险。

较旧的 PHP 安装仍令人担忧，因为不在项目受支持分支内的版本，可能依赖托管服务商或软件供应商单独提供的安全修复。

紧急补丁已发布

围绕这些漏洞的细节在 PHP 安全团队完成原定披露流程之前就开始流传。

根据该基金会的说法，这两个漏洞编号于10月20日出现在网络论坛和社交媒体上，同时还伴随一个错误的 10.0 严重性评分和不准确的发布时间表。

虽然最初泄露的内容没有包含技术利用说明，但安全公司 Calif 随后错误发布了一段概念验证视频，演示了针对多个目标的攻击。

原视频被删除后，副本仍在继续传播，促使研究人员开发出更多利用演示。

随后，PHP 团队将原定于10月22日的安全发布提前至10月21日，以便软件分发商有时间准备更新，同时减少技术信息在补丁尚未可用期间传播的窗口。

该基金会还单独批评安全供应商 Chainguard 在协调发布前六个多小时发布了已修补的软件镜像，可能让攻击者在公开披露前提前研究这些变更。

安全公司 Cloudflare 在漏洞公开前就部署了防火墙防护，并与参与披露的 OpenAI、Wiz 以及其他组织的研究人员合作。

Cloudflare 表示，这些漏洞合称为 PHP2Shell，可能使受影响服务器面临远程代码执行、服务中断和敏感数据泄露风险。

加密用户会受到被入侵网站的影响吗？

赵长鹏的警告发布之际，加密货币用户仍在面对依赖虚假网站和欺骗性钱包凭证请求的钓鱼活动。

上周，crypto.news 报道称，谷歌搜索结果中出现了假的 Ledger 网站，攻击者试图通过冒充合法软件的页面收集钱包恢复短语。

另一起事件中，攻击者利用 Trezor 钓鱼邮件和被入侵的第三方基础设施，向加密货币客户分发虚假的安全消息。

不过，若 PHP 服务器被攻破，攻击者可能会篡改网站内容，或根据其获得的访问权限，植入虚假的登录请求和钱包连接请求。

截至发稿，尚无确认报告显示加密货币交易所或用户钱包因这些新披露的 PHP 漏洞而直接遭受安全事件。

加拿大网络安全中心已敦促运营面向互联网的 PHP 应用的组织，识别存在漏洞的安装并立即应用可用安全更新。