CZ 警告網站安全風險巨大：什麼是 PHP2Shell？
2026-10-22
在2026年10月21日，PHP 團隊發布了 緊急安全補丁，以修補兩個嚴重的記憶體安全漏洞，現在被廣泛稱為 PHP2Shell。
這些漏洞以 CVE-2026-109618 和 CVE-2026-109619 進行追蹤，影響幾乎每個 PHP 版本，從 5.4 開始，可能允許未經身份驗證的遠程代碼執行和敏感記憶體洩露。
幣安創始人 趙長鵬 (CZ) 發出了強烈的 CZ 安全警告和 CZ 網站警告，呼籲用戶在接下來的幾天裡訪問任何網站時格外小心。
因為許多站點運行過時的 PHP，僅僅加載一個被攻擊的頁面可能會使訪問者面臨憑證盜竊或設備級攻擊的風險。
這份綜合指南涵蓋了什麼是 PHP2Shell、技術細節、2026年10月的補丁、現實世界的影響（特別是對 WordPress 和與加密貨幣相關的網站）以及保護您的加密錢包和帳戶的實用步驟。
主要要點
- PHP2Shell 是一對關鍵的記憶體安全漏洞，存在於 PHP 運行時本身，能夠在受影響的服務器上啟用未經身份驗證的遠程代碼執行和記憶體洩露。
- 官方補丁僅針對 PHP 8.2–8.5 提供；舊版本仍然存在漏洞，並且沒有供應商修復。
- 用戶應避免可疑網站，啟用雙重身份驗證，使用硬體錢包，並檢查他們信任的平台（包括交易所）是否確認未運行易受攻擊的 PHP。
什麼是 PHP2Shell？
來源：php2shell.com
PHP2Shell 是社區名稱，指的是 PHP 核心引擎中兩類相關的漏洞。
與典型的插件或主題缺陷不同，這些錯誤位於 PHP 如何處理請求失敗時的記憶體和如何在請求或工作進程之間清理全局狀態的深層。
這些缺陷可能會留下已損壞或過時的指針。攻擊者發送精心製作的 HTTP 請求，通常是大型的多部分上傳，可能會觸發使用後釋放狀況、類型混淆（包括在 OPcache 中）和跨請求記憶體重用。
結果：能夠讀取敏感的進程記憶體（密碼、令牌、API 密鑰）或在沒有任何身份驗證的情況下實現完全的遠程代碼執行。
來自 Wiz, Calif OpenAI, 和其他研究人員在 WordPress、Drupal 和 Joomla 的最新容器映像上展示了預身份驗證的 RCE。即使是一個簡單的 “Hello World” PHP 應用也可能存在漏洞，因為問題發生在運行時，而不是應用代碼中。
PHP 驅動著大約 70% 的所有網站，包括絕大多數的 WordPress 安裝。這種規模使得 PHP 安全漏洞 2026 被與過去的基礎架構級事件（如 Heartbleed 或 Log4Shell）進行比較。
兩個 CVE 概覽
兩者均獲得了 9.2 的 CVSS 評分。早前的一次洩漏錯誤地聲稱獲得了完美的 10.0 評分。
2026年10月PHP安全補丁時間表
- 10月20日： 兩個關鍵 PHP RCE 漏洞的詳細信息開始流傳（包括 CVE 號碼和宣稱的 CVSS 10.0）。研究人員確認洩漏是真實的，但仍然在禁運中。
- 10月21日： PHP 比原計劃更早發布了補丁。Cloudflare 在公開披露幾小時之前已經部署了 WAF 防護（包括新的完整交易檢測功能）。
- 發布後不久： 在野外確認了利用情況。安全團隊觀察到攻擊者改變有效載荷以繞過早期防禦。
- 10月22日以後： 各組織正在搶著盤點和升級 PHP 實例，同時 WAF 提供臨時保護。
為什麼 CZ 發出了網站警告
來源：php2shell 網站
在一則迅速在加密 Twitter 上傳播的帖子中，CZ 寫道：
“叫我偏執，但在接下來的幾天裡，訪問任何網站時一定要格外小心，因為某些網站管理員並不總是跟上安全補丁的更新…… 瘋狂的利用情況在披露後不久就得到了證實…… 未經身份驗證的攻擊可能會將訪問過的網站變成憑證盜竊或設備攻擊的媒介。”
這個 CZ 安全警告並不限於加密平台。因為攻擊不需要登錄，一個被攻擊的 WordPress 博客、電子商務商店，甚至是運行易受攻擊 PHP 的新聞網站都可能成為水洞攻擊的目標。
訪客可能會被釣取憑證、會話令牌被盜或惡意軟件被傳送。
BNB Chain 和 PancakeSwap 迅速確認他們在架構中不使用 PHP。CZ 鼓勵其他項目發布類似聲明，強調透明度本身現在也是加密網站安全的一部分。
對加密使用者和交易所的影響
PHP2Shell 漏洞帶來了幾個特定於加密的風險：
- 加密釣魚攻擊：攻擊者可以將普通網站變成收集憑證的頁面，或注入針對瀏覽器錢包的惡意腳本。
- 交易所和平台風險：任何前端或管理面板運行在易受攻擊的 PHP 上的集中式或去中心化服務在修補之前都有潛在的暴露風險。
- 錢包排水向量：內存洩漏可能會洩漏 API 金鑰、會話 Cookie，甚至是私人金鑰，如果它們曾經由 PHP 工作者處理過。
- 供應鏈和第三方風險：許多加密項目依賴 WordPress 進行博客、文檔或市場推廣網站。一個受到攻擊的博客仍然會損害聲譽和用戶信任。
即使主要交易所不運行 PHP，當用戶在登錄交易所賬戶或瀏覽器錢包時訪問未修補的第三方網站，仍然面臨高風險。
另見：CZ BOOK (CZBOOK)：受 Binance 的 CZ 啟發的 BSC 代幣 - 價格與指南 2025
官方修補程式和支持版本
只有目前支持的四個 PHP 分支獲得了修補：
所有較舊的分支 (8.1 及以下、7.x、5.x) 都已終止服務。它們將永遠不會接收官方 PHP 修補。操作員必須升級、隔離系統或將其置於強大的 WAF 和網絡控制後面。
僅更新 WordPress、Drupal 或插件並不能解決問題。PHP 運行時本身必須升級，並重啟網絡伺服器/PHP-FPM 工作者。
如何保護加密錢包，適用於網站和伺服器操作員
- 清點每個 PHP 安裝，包括隱藏在控制面板、設備和供應商軟件中的那些。
- 立即升級到修補版本並重啟服務。
- 保持啟用 Cloudflare (或類似) WAF 保護，它們是早期部署並持續更新的。
- 監控異常的多部分請求、重複的 500 錯誤、意外的 PHP 工作進程啟動和異常的 PHPSESSID Cookie。
- 對於無法快速修補的系統，考慮將其隔離於公共互聯網，或將 memory_limit 設置為 -1 (使用適當的操作系統級 cgroup 限制) 作為臨時措施。
對於普通加密使用者：如何保護加密錢包
- 將每個網站視為潛在的敵對網站，為期幾天。
- 對於大量持有資產，優先考慮硬體錢包 (Ledger、Trezor 等)，並且絕不要在任何網站輸入種子短語。
- 對每個交易所和錢包服務啟用 2FA（最好是基於應用程序或硬體的）。
- 對於加密活動使用瀏覽器隔離或單獨的瀏覽器配置文件。
- 在大多數修補工作完成之前，避免將錢包連接到不熟悉的 dApps 或網站。
- 提防提到 “緊急 PHP 安全更新” 或假交易所警報的釣魚電子郵件和消息。
- 優先考慮已公開確認其架構不受影響的平台。
這些習慣形成了良好加密網站安全的核心，並在特定漏洞得到修復後仍然具有價值。
來自 PHP 安全漏洞的更廣泛教訓 2026
PHP2Shell 展示了兩個現代現實。首先，內存安全問題可能會潛伏超過十年，直到出現正確條件和適當工具，才能浮現出來。
其次，前沿人工智慧大幅降低了將複雜的多錯誤鏈轉化為可靠利用的成本。過去需要精英專家團隊的工作現在可以在人工智慧的幫助下更快地迭代。
同時，協調反應、研究人員、PHP 團隊、Cloudflare、主要雲服務提供商及其他人員顯示，當風險高時，行業仍然可以快速行動。
結論
像 2026 年 10 月的 PHP 安全補丁這樣的安全事件提醒我們，加密生態系統的強度僅取決於最薄弱的環節，無論這個環節是一個被遺忘的 WordPress 部落格還是用戶的瀏覽器習慣。
在 Bitrue，我們十分重視基礎設施和用戶安全。我們的平台在合適的地方設計了現代的非 PHP 堆疊，持續監控，並且強調用戶教育。
要獲取最新的安全見解、市場分析和如何保護加密錢包資產的實用指南，請定期訪問官方 Bitrue 部落格。
當您準備好自信交易時，探索 Bitrue 提供的廣泛資產、競爭性費用和強大的安全功能。
保持安全，及早修補，絕不要分享您的種子短語。下一個關鍵漏洞只是時間問題，準備好是最佳防禦。
常見問題
1. PHP2Shell 簡單來說是什麼？
PHP2Shell 是對 PHP 編程語言本身的兩個關鍵漏洞（CVE-2026-109618 和 CVE-2026-109619）的稱呼。它們允許攻擊者在易受攻擊的網頁伺服器上執行代碼而無需登錄，並讀取敏感記憶體。
2. PHP2Shell 漏洞會影響加密交易所嗎？
這取決於該交易所或其相關網站是否運行易受攻擊的 PHP。已經有幾個主要項目確認它們不使用 PHP。始終檢查官方聲明，並無論如何保持良好的個人安全衛生。
3. 更新插件和主題後 WordPress 自動安全嗎？
不行。這是一個 WordPress PHP 漏洞，屬於運行時級別。您必須升級底層的 PHP 版本並重啟網頁伺服器進程。
4. 如果我無法立即修補 PHP，我該怎麼辦？
將網站放置在現代 WAF 後面（Cloudflare 免費計劃已經包括相關規則），如果可能的話，限制公共訪問，密切監控日誌，並優先進行升級。臨時的配置變更例如移除記憶體限制只是部分緩解措施。
5. CZ 網站警告如何改變我的日常瀏覽？
在接下來的幾天內，對於訪問不熟悉或非必要網站要格外小心，尤其是那些可能仍在運行過時 PHP 的網站。堅持訪問知名的、高聲譽的網站，並保持錢包和交易所的會話處於最小化狀態。
免責聲明：所表達的觀點僅屬於作者本人，並不反映此平台的觀點。此平台及其附屬機構不對所提供信息的準確性或適用性承擔任何責任。此僅供信息用途，並非財務或投資建議。
免責聲明：本文內容不構成財務或投資建議。
