当前位置：首页 > 资讯 > PHP漏洞引发警报加密用户如何自保

PHP等漏洞威胁大量网站，你的资产会受影响吗？加密用户如何自保？

2026-10-22 14:12:27 | 来源： | 作者：佚名
PHP与Node.js安全更新接连发布,Railway环境变量恐遭未授权访问,LiteLLM被植入恶意程序,加密项目紧急排查前端、后台与链上服务,阅读本文了解PHP2Shell漏洞详情、Node.js高危修复及凭证泄露应对,需要的朋友可以参考下

10 月 21 日至 22 日，PHP 与 Node.js 先后发布安全更新，云部署平台 Railway 披露客户环境变量可能遭未授权访问，AI 网关 LiteLLM 的一个发布版本被植入恶意程序。加密项目陆续排查前端网页、后台及链上自动执行服务。

PHP等漏洞威胁大量网站，你的资产会受影响吗？加密用户如何自保？

短时间多起网络安全事件涉及不同软件与平台，但现有证据不足以将它们确认为同一条攻击链。Cloudflare 称，其在 PHP 漏洞正式披露前已观测到针对客户的攻击流量；荷兰国家网络安全中心也曾预防性关闭网站。日本首相高市早苗呼吁网站运营者准备安装 PHP 补丁，无法及时更新时可考虑临时停站；币安创始人赵长鹏也提醒用户，未来几天访问网站需格外谨慎。补丁发布并不意味着所有网站已完成修复。

漏洞、泄密与软件投毒

PHP 是网站生成动态页面、处理后台请求的编程语言。此次披露的 PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619 两个严重漏洞，严重性评分均为 9.2 分（满分 10 分）。

据 Wiz 介绍，除已修复版本外，受影响范围可追溯至 PHP 5.4。PHP 在内存耗尽或请求处理出错后，可能误用尚未准备好或已经释放的内存。一旦满足利用条件，攻击者无需登录即可在服务器上运行程序，或读取内存中的密码、令牌等机密数据。

PHP 团队已演示，在 Apache mod_php 这一部署方式下，攻击能在网站应用代码运行前触发。登录验证和应用内的安全插件可能尚未启动，服务器便已遭攻击，网站内容、登录会话和后台凭证都可能受威胁。据 PHP 基金会介绍，Calif、OpenAI 与 Wiz 分别提交了相关利用路径；Wiz 称，相关缺陷存在已超过十年，AI 模型降低了构造和适配复杂攻击的难度。

慢雾发推表示，其扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，约为 53.3%。但这仅是技术使用痕迹，不能据此认定这些网站存在漏洞或已被攻破。

Node.js 让 JavaScript 能在服务器等环境中运行。此次修复了 10 个漏洞（其中 4 个为高危），包括解压数据时可能远程执行恶意代码的 Brotli 解码器问题（CVE-2026-111497）、错误验证服务器身份的 TLS 证书校验绕过（CVE-2026-105483、CVE-2026-106069）和 DNS 解析漏洞（CVE-2026-105482），并拦截与私钥已失陷的 eMudhra 中间 CA 相关的证书链。

实际风险取决于应用是否使用了受影响的版本和功能。浏览器里的普通 JavaScript 不同于服务器上的 Node.js，并非所有网页都会受到同等影响。

应用部署平台 Railway 的风险集中在凭证泄露。该平台称，第三方可能访问了加密环境变量，并读取其中部分解密内容；平台认为，此事属于近期以入侵 AI 推理服务商为目标的一系列攻击。环境变量通常存放数据库密码、API 密钥，有时也包含项目签名私钥。Railway 在排查期间一度暂停构建部署，并建议所有用户更换相关凭证。

Railway 10 月 22 日补充提醒，保存在平台上的 Google Cloud、AWS 等凭证可能被用于访问其他云资源，排查范围不应局限于 Railway 内部。

此外，用于统一调用 AI 模型的 LiteLLM 1.107.0 也遭遇软件供应链投毒。据 LiteLLM 阶段性事件报告，攻击者利用被盗用的开发者 GitHub 凭证篡改发布流程，将植入窃密、远控程序的发布包推送至 PyPI。

事件窗口内，Docker Hub 与 GHCR 的 v1.107.0、latest、main-latest 和 main-stable 镜像标签曾指向受污染镜像。恶意发布包已移除，受影响镜像标签已删除或重新指向干净版本；完整入侵路径仍在调查。安装或运行过受污染版本的环境需要按入侵事件处置，不能只卸载或升级软件。

项目停用密钥、转移资金

风险可能沿三条路径传向用户：网页被篡改，把交易换成恶意授权或错误收款地址；服务器签名私钥泄露，攻击者无需用户再次确认即可动用该密钥的权限；账户会话或 API 密钥泄露，导致资料外流、账户操作被冒用，损害取决于凭证权限。合约审计无法覆盖网站、部署平台和签名服务器这些入口，真实域名也可能展示被篡改的页面。

TokenWorks 称，其全部索引器和自动执行链上操作的 keeper 均使用 Railway，keeper 已保持离线，并转出运行钱包中的 1.17 ETH。这是预防性转移，并非披露被盗。

PeekPeak 开发者确认 worker 环境变量及加密密钥库密码暴露，已将执行者私钥视为泄露并更换；其称，该密钥无权动用金库或托管提款，用户资金未受威胁。

TheGoblinn 称，其 API 托管于 Railway，已轮换或停用相关密钥，并通过多签移除旧密钥的链上权限，未有资金、合约或物品受影响。Pendle 与 Boros、Definitive、Predict[.]fun 等均表示不运行于 Railway、服务不使用 PHP；Intersect 则预防性关闭会员区。不同项目的权限设计，决定了服务器失守后的损害范围。

加密用户怎么做

普通用户可以先查自己用过的项目有没有发布安全公告。浏览网页、连接钱包，通常不等于交出私钥或转账权限，不必仅因新闻就匆忙转移全部资产。遇到异常提款、无限授权或看不懂的签名，先暂停操作。但此前授权可能继续有效，存入协议的资金也可能受到后台权限泄露的影响。

如果签过可疑交易或授权，可以通过钱包官方入口或对应链浏览器查看授权记录，核对所在链、代币或 NFT、授权对象和额度。断开网站连接不会取消链上授权，撤销授权仍需链上交易和手续费。某项代币授权出了问题，不代表私钥已经泄露。

不花手续费的签名也要看清内容。Permit2 等机制可通过链下签名授予资产权限，具体处置方式要查对应协议。撤销授权不能追回已确认的转账；硬件钱包虽能隔离私钥，也需防范自己亲自批准任何恶意操作。

私钥或助记词一旦泄露，改密码、撤销授权都不足以恢复安全。剩余资产应转到在可信设备上创建、使用全新助记词的钱包。助记词泄露后，在原钱包里新增账户也不能解决问题。若充进去的手续费立即被转走，停止充值，联系钱包官方支持。不要轻信私信中的「安全迁移」链接，更不要向对方提供助记词。

非自托管的用户，应留意平台公告和账户异常，无需因这些新闻自行更换链上钱包。使用交易机器人、节点工具或 AI 服务等的读者，工具的风险可能还涉及软件版本、部署平台和提供给它们的 API 密钥等，需要对照服务商公告确认自己是否受影响。

以上就是PHP等漏洞威胁大量网站，你的资产会受影响吗？加密用户如何自保？的详细内容，更多关于PHP漏洞引发警报加密用户如何自保的资料请关注脚本之家其它相关文章！

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：php   漏洞警报   加密用户   自保  

你可能感兴趣的文章

币圈快讯

  • 布伦特原油暗盘跌破112美元日内跌超0.3%

    2026-11-01 05:07
    11月1日，布伦特原油暗盘跌破112美元，日内跌超0.3%。（新浪财经）

  • 美国个人储蓄率9月份下降0.2个百分点至4.2%创2022年10月以来最低水平

    2026-11-01 04:41
    11月1日，据TheKobeissiLetter披露，美国个人储蓄率9月份下降0.2个百分点至4.2%，创下2022年10月以来的最低水平。自2024年1月以来，美国个人储蓄率已累计下降3.4个百分点。目前，个人储蓄率已远低于疫情前五年6.2%的平均水平。与此同时，9月美国个人收入同比增长4.1%，为2022年4月以来第二低的增速。同期，个人消费支出（PCE）同比增长6.3%，为2024年12月以来第二高的同比增幅。换言之，消费者支出增速持续超过收入增长，进一步挤压家庭储蓄，并使家庭对借贷的依赖程度上升。持续高企的通胀和处于历史高位的物价，也在进一步侵蚀消费者的储蓄。

  • 《华尔街日报》胜诉特朗普100亿美元诽谤诉讼被驳回

    2026-11-01 04:38
    11月1日，美国一名联邦法官驳回了唐纳德·特朗普重新提起的、针对《华尔街日报》的100亿美元诽谤诉讼，并裁定该案不得再次起诉，这是特朗普在与媒体的法律纠纷中遭遇的又一次挫折。迈阿密法官DarrinGayles于周六批准了《华尔街日报》的撤诉申请。诉状指控该报在一篇关于特朗普与已故杰弗里·爱泼斯坦往来的报道中对其构成诽谤。Gayles曾在4月以证据不足为由首次驳回该案，但当时允许特朗普补充诉求后重新起诉。特朗普在5月提交新版本诉状，而《华尔街日报》认为新版本并未做出有效完善。这项裁决对《华尔街日报》、其母公司新闻集团以及名誉主席鲁珀特·默多克（均为该案被告）而言是重大胜利。被告方在撤诉申请中称，相关报道内容属实，特朗普提起诉讼意在压制媒体对他的批评。引发这起诉讼的《华尔街日报》报道称，特朗普曾向爱泼斯坦寄送一封带有暗示性内容的生日信件。（新浪财经）

  • Name.com域名劫持事件升级：15个客户域名受影响并全部恢复其中10个与Vercel平台相关

    2026-11-01 04:08
    11月1日，Name.com向TheBlock表示，此次攻击中共有15个客户域名被劫持，超过此前确认的12个，目前这些域名已全部恢复。Vercel则表示，受影响的域名中有10个与其平台相关联。此前消息，周五晚些时候，黑客入侵了十余个DeFi网站，包括Flap、Kintsu、PickleFinance和OrigamiFinance，并利用这些网站清空了访问者的加密货币钱包。据TheBlock获取的注册记录显示，这12个被劫持的域名均通过Name.com注册，其中10个已于周六上午在注册商层面被暂停。TheBlock迄今已将约13.8万美元的被盗资金追踪到EVM链上的三个钱包，这一数字尚未计入Solana或Aptos链上的任何损失。

  • 伊朗最高国家安全委员会秘书雷扎伊：战争应永久结束不应再有任何国家“胆敢”对伊朗发动攻击

    2026-11-01 03:40
    伊朗最高国家安全委员会秘书雷扎伊：我们认真对待外交，但不会放弃伊朗人民的权利。战争应永久结束，不应再有任何国家“胆敢”对伊朗发动攻击。在伊朗的七项条件得到满足之前，不会进行谈判，也不会开放霍尔木兹海峡。如果后续阶段举行核谈判，伊朗依据《不扩散核武器条约》享有的核权利应得到尊重。(金十)
    • 查看更多

最新资讯

更多

区块链百科