在針對新披露的 PHP 漏洞發布緊急修補程式後，加密貨幣使用者與開發者面臨升高的網路安全風險。Immunefi 執行長 Mitchell Amador 警告，在接下來的幾週內，網際網路使用者應假設任何登入的網站都可能已被入侵——尤其是那些運營規模較小、更新部署較慢的組織。
阿馬多爾將這一情況描述為他所稱的「漏洞末日」的延續，即發現漏洞變得越來越快速且成本低廉，但對許多運營者而言，真正修復這些漏洞的工作仍舊緩慢且昂貴。他的評論緊隨 PHP 基金會承認由於資源限制，一項關鍵安全修復被延遲之後。
重點摘要
- Immunefi 首席执行官 Mitchell Amador 勸諭用戶在補丁廣泛部署之前，將網頁會話視為潛在不安全。
- 用戶將加密貨幣錢包連接到網站時應特別小心，並避免重複使用密碼。
- 投資者和用戶應撤銷其未認知或未授權的代幣批准。
- 根據 Cloudflare 執行長 Matthew Prince 的說法，在 PHP 問題公開後，攻擊嘗試迅速增加。
- 由於網站必須獨立升級，即使在發布緊急修補程式後，網際網路各處的修補時間表也可能不均勻。
為何這個 PHP 补丁窗口可能異常危險
阿馬多爾的警告針對的是漏洞披露至完全修復之間的時期。即使發出了緊急修補程式，各個網站仍需自行進行升級——這項工作可能因人員、測試或部署複雜性而被小型運營商延遲。
他向 Cointelegraph 表示，用戶應立即調整行為：在接下來的幾週內，將任何登入的網站視為可能已被入侵。實際上，這意味著避免危險的認證習慣（例如密碼重用），並在與錢包連接的應用程式互動時更加謹慎。
阿馬多爾還建議撤銷用戶不認識的代幣授權。在加密貨幣生態中，授權實際上可以代表用戶授予智能合約權限——因此，如果用戶在缺乏足夠審查的情況下進行互動，受損的網站可能會試圖推送惡意授權。
PHP 基金會的延遲回應，以及發生了什麼變化
最新的這一輪擔憂，發生在 PHP 基金會承認延遲修復於 2024 年首次發現的關鍵安全漏洞後近一週。在聲明中，PHP 基金會表示，由於資源不足，因此修復時間比預期更長。
兩項關鍵漏洞的緊急修補程式於同一天發布，但關鍵的是，修補程式的可用性並不能保證快速採用。網站仍需更新其自身的 PHP 安裝和軟體堆疊。在修補程式發布與廣泛部署之間的時間差，正是許多實際攻擊得以滋生的空間。
Cointelegraph 曾於六月發表的一篇訪談中報導過阿馬多爾更廣泛的「漏洞末日」觀點，他認為前沿 AI 模型的崛起已使網路安全的遊戲規則向攻擊者傾斜。在該對話中，他將此現象與 DeFi 黑客攻擊的復甦聯繫起來，並指出當防禦無法跟上攻擊者能力時，生態系統仍處於脆弱狀態。
披露後，攻擊嘗試迅速增加
速度似乎是這個故事的關鍵部分。根據 Cloudflare 執行長 Matthew Prince 的說法，Cloudflare 在 PHP 漏洞公開後的 24 小時內觀察到數百萬次利用嘗試，甚至在披露前就已出現數千次嘗試。Prince 在一則 X 帖子中分享了這些觀察結果。
PHP 的廣泛使用放大了潛在風險的規模。研究服務 W3Techs 評估，約 69% 使用已知伺服器端程式語言的網站均由 PHP 驅動。此外，Cloudflare 表示，全球約五分之一的網站透過其網路傳輸流量，意味著當存在面向互聯網的漏洞時，互聯網的很大一部分可能同時受到影響。
安全研究人員和執法部門的指導也指出了其嚴重性。聯邦調查局網絡部門警告稱，這些漏洞可能允許惡意行為者「遠端執行 PHP 核心中的代碼」，進而危及敏感資料和網路——其後果可能遠超簡單的網站篡改。
在補丁追趕期間，加密貨幣用戶應採取的措施
此問題不僅是普遍的網頁安全問題，更直接關聯到對加密貨幣用戶造成風險的行為。阿馬多爾的建議著重於在用戶等待升級生效期間，降低網站被入侵的影響。
除了基本的良好的安全習慣外，他強調了三項行動：
- 在未來幾週內，將網站視為潛在不安全，直到您有理由相信其修補狀態。
- 避免重複使用密碼，以減少憑證在其他地方洩露時的影響範圍。
- 撤銷未認可的代幣授權，特別是透過第三方網站或錢包相關流程授予的授權。
對於運行使用 PHP 的網站的運營者來說，影響很明確：發布修補程式僅是開始。防護效果取決於及時升級、驗證和持續監控——因為一旦漏洞可被利用，攻擊者通常會迅速行動。
讀者應關注主要網際網路平台與小型網站如何快速完成升級，以及後續報告是否顯示攻擊嘗試減少。下一階段的關鍵將不再取決於修補程式何時發布，而更在於它們在整個互聯網 PHP 依賴範圍內實際被採用的時間。
本文原載於 Crypto Breaking News：Immunefi 執行長警告 PHP 漏洞凸顯 AI 安全風險 —— 您值得信賴的加密貨幣新聞、比特幣新聞和區塊鏈更新來源。