币圈界报道：

PHP严重漏洞曝光后，赵长鹏警示用户警惕被动入侵

在10月21日披露两项关键PHP漏洞细节后，加密货币行业领军人物赵长鹏（CZ）向公众发出紧急提醒，强调用户在接下来数日内访问任意网站时都应保持高度警觉。他指出，这些漏洞允许攻击者在无需登录的情况下实施远程利用，仅通过访问目标页面即可触发恶意行为。

漏洞公开后迅速演变为真实威胁，攻击活动已被证实

赵长鹏于X平台发布声明，提及编号为CVE-2026-109618与CVE-2026-109619的两个漏洞，并表示：“即便被视为过度谨慎也无妨，在未来几天内，请对所有网络访问保持戒备，因为并非所有系统管理员都能及时部署安全修复。”

美国国家安全局（NSA）下属网络部门建议所有使用PHP的组织立即着手更新，若无法即时打补丁，则应将受影响服务下线。联邦调查局（FBI）网络安全部门亦重申该建议，并提示运营方关注异常启动的Shell命令进程。Cloudflare透露，其已在漏洞公开前启用默认防火墙策略以提供防护。

据PHP基金会博客披露，这两个漏洞编号自10月20日起在网络流传，初期误标发布时间并错误标注严重性为满分10.0，而非实际的9.2，且未披露具体技术信息。随后，报告方Calif意外发布了概念验证视频，而Chainguard则提前六小时以上公布了补丁镜像。值得注意的是，基金会最初确认未发现可运行的利用代码，但赵长鹏后续文章中已提及实际攻击案例的出现。

“漏洞披露后不久，已有确凿证据表明攻击行为已在生产环境中展开，促使各团队加快部署WAF防御和补丁修复流程，因未授权攻击可能使正常网站沦为窃取凭据或控制设备的跳板。”赵长鹏补充道。

BNB Chain与PancakeSwap明确声明系统安全无虞

尽管警告声浪四起，但并非所有区块链项目均受波及。BNB Chain高管Nina Rong澄清，该网络架构中未采用PHP技术栈。去中心化交易平台PancakeSwap亦在社交平台发布声明，强调其基础设施中任何环节均不依赖PHP，用户资产不受此次漏洞影响。

赵长鹏随后转发该声明，并评论称：“多数项目至少应主动发布此类安全性确认，以增强社区信任。”

与此同时，OpenAI表示，其通过“Patch the Planet”计划支持研究人员识别出上述漏洞，并评价其为“近年来最具破坏潜力的安全缺陷之一”。该公司进一步指出，目前尚无证据显示前沿人工智能被用于发动攻击，且相关问题已在攻击者之前得到解决。

以太坊联合创始人Vitalik Buterin曾提出观点，认为具备数学证明能力的AI或将彻底颠覆传统网络安全模型，因其理论上可同时验证程序正确性与潜在漏洞。