币圈界报道：

赵长鹏预警PHP严重漏洞：数千万网站或遭远程攻击

币安联合创始人赵长鹏近期发布安全提示，呼吁公众在短期内避免访问未知来源的网页。该警告源于支撑互联网多数动态网站的编程语言PHP被披露存在两项关键性安全缺陷，可能引发大规模系统沦陷。

漏洞影响范围广泛，补丁发布前已现利用迹象

此次曝光的漏洞编号为CVE-2026-109618与CVE-2026-109619，直接影响依赖PHP运行的WordPress、Magento等主流内容管理系统。尽管官方于2026年10月21日才正式发布修复版本，但漏洞细节已在之前泄露，导致部分服务器暴露于攻击之下。

攻击者可无认证执行远程代码，风险等级达9.2

安全机构将这两项缺陷评定为“严重”级别，其CVSSv4评分均为9.2，意味着攻击者可在无需登录的情况下，以网站进程权限远程操控目标系统。其中，CVE-2026-109618涉及内存管理异常，而CVE-2026-109619则属于典型的“释放后使用”漏洞，可在请求间保留恶意状态。

对普通用户而言，主要风险来自间接感染——攻击者可通过受控网站向访客推送恶意脚本，进而窃取账户凭证或植入恶意程序。对于频繁通过浏览器操作钱包、交易所的加密用户而言，这一威胁尤为突出。

全球超2260万实例受影响，野外已现攻击活动

根据Palo Alto Networks Unit 42团队的数据，目前有超过2260万个在线实例可能同时受到这两个漏洞的影响。Tenable报告指出，在公开披露前的10月17日，已有针对该漏洞的初步利用尝试，且名为“php2shell”的恶意工具正被广泛部署于真实网络环境中。

更新补丁迫在眉睫，老旧版本面临长期风险

2026年10月21日，PHP官方在8.5.12、8.4.27、8.3.36及8.2.35版本中发布了相应修复。然而，Google Cloud明确表示，不再为已终止支持的PHP 8.1及更早版本提供补丁，这意味着仍运行这些旧版系统的站点将长期处于高危状态，需依赖额外防护策略。

截至目前，尚未出现直接冲击加密货币交易所或用户钱包的确认事件。但整体安全态势取决于全网补丁落地速度。建议用户减少访问非信任站点，警惕异常登录弹窗，并优先启用硬件级双因素认证。网站运营方应立即升级至最新稳定版本。