Immunefi CEO警告：PHP漏洞凸显AI安全风险_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Immunefi CEO警告：PHP漏洞凸显AI安全风险

2026-10-26 23:17:00

PHP漏洞紧急补丁发布后，加密用户面临严峻网络安全风险

随着新披露的PHP漏洞紧急补丁发布，加密货币用户和开发者正面临日益升高的网络安全风险。Immunefi首席执行官Mitchell Amador警告称，在未来几周里，互联网用户应假设任何登录的网站都可能已被攻破——特别是那些由小型组织运营的网站，因为它们可能需要更长时间来部署更新。

Amador将这一局势描述为他所谓的“漏洞末日”（vulnerability apocalypse）的延续：发现缺陷的速度越来越快、成本越来越低，但对于许多运营者来说，修复这些缺陷的真实工作仍然缓慢且昂贵。他的评论紧随PHP基金会承认因资源限制而延迟关键安全修复之后。

核心要点

Immunefi首席执行官Mitchell Amador敦促用户，在补丁广泛部署之前，应将网络会话视为潜在不安全。
将加密钱包连接到网站的连接者应格外谨慎，并避免重复使用密码。
投资者和用户应撤销他们不认可或未授权的代币批准。

据Cloudflare首席执行官Matthew Prince表示，在PHP问题公开披露后，利用漏洞的尝试迅速激增。由于网站必须独立升级，即使在发布紧急修复程序后，补丁的时间线在互联网上可能仍不均匀。

为何此次PHP补丁窗口期异常危险

Amador的警告针对的是从漏洞披露到完全补救之间的时期。即使发布了紧急补丁，各个网站仍需自行执行升级工作——小型运营商可能会因人员配备、测试或部署复杂性而推迟这项工作。

他告诉媒体，用户应立即调整行为：在未来几周内，将他们登录的任何网站都视为可能已被攻破。在实际操作中，这意味着避免冒险的身份验证习惯（如密码重用），并在与钱包连接的应用程序交互时更加小心。

Amador还建议撤销用户不认识的代币批准。在加密生态系统中，批准实际上可以代表用户在智能合约上授予权限——如果用户在没有充分审查的情况下进行互动，被攻破的网站可能会尝试推送恶意批准。

PHP基金会的延迟响应及其背后的变化

这一轮担忧几乎是在PHP基金会承认其延迟修复2024年首次发现的关键安全漏洞一周后出现的。在其声明中，PHP基金会指出，资源短缺是导致修复时间比预期更长的原因。

尽管同一天发布了针对两个关键漏洞的紧急补丁，但至关重要的是，补丁的可用性并不能保证快速采用。网站仍然需要更新其自身的PHP安装和软件堆栈。这种补丁发布与广泛部署之间的差距，正是许多现实世界攻击得以滋生的地方。

此前曾有报道提及Amador更广泛的“漏洞末日”框架，他在今年6月的一次采访中表示，前沿人工智能模型的兴起已将网络安全战场转向攻击者。在那次对话中，他将这种现象与DeFi黑客事件的 resurgence 联系起来，表明当防御无法跟上攻击者能力时，生态系统仍然暴露在外。

披露后利用漏洞的尝试迅速增加

速度似乎是这个故事的关键部分。根据Cloudflare首席执行官Matthew Prince的说法，Cloudflare观察到在PHP漏洞公开披露后的24小时内，出现了数百万次利用漏洞的尝试，甚至在披露发生前就有数千次尝试。Prince在X平台上分享了这些观察结果。

PHP的广泛使用放大了潜在暴露的范围。研究服务W3Techs估计，PHP为约69%使用已知服务器端编程语言的网站提供支持。另外，Cloudflare表示，全球约五分之一网站的流量通过其网络路由，这意味着当存在面向互联网的漏洞时，互联网的大部分可能同时受到影响。

安全研究人员和执法部门的指导也指出了严重性。美国联邦调查局（FBI）网络部门警告称，这些漏洞可能允许恶意行为者“在PHP核心中远程执行代码”，从而可能危及敏感数据和网络——这一后果可能远远超出简单的网站篡改。

在补丁追赶期间，加密用户应采取的措施

这个问题不仅是一般性的网络安全问题；它直接与创造加密用户风险的行為相交。Amador的建议侧重于减少在用户等待升级期间的潜在影响。

除了保持良好的通用安全卫生习惯外，他还强调了三项行动：

在未来几周内将网站视为潜在不安全，直到你有理由相信其补丁状态为止。
避免密码重用，以减少在其他地方获取凭证时的爆炸半径。
撤销未认可的代币批准，特别是通过第三方网站或钱包相关流程授予的批准。

对于运行使用PHP的网站的操作者而言，含义很明确：发布补丁只是开始。保护价值取决于及时的升级、验证和持续监控——因为一旦漏洞变得可操作，攻击者通常会迅速行动。

读者应密切关注主要网络平台和小网站完成升级的速度，以及后续报告是否显示利用尝试的减少。下一阶段很可能更多地由补丁在互联网的PHP依赖表面区域实际被采用的时间定义，而不是由补丁发布的时间定义。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文