PHP是很多网站用的程序语言，这次爆出严重漏洞，黑客不用登录，你点开网页就有可能被盗账号信息。CZ提醒大家最近上网谨慎一点。BNB Chain和PancakeSwap说他们系统没有用到PHP，不会受这次漏洞影响，也希望别的项目也出来说明情况的。下面小编简单梳理高危PHP漏洞带来的安全警示。

PancakeSwap与BNB Chain均表示技术栈中未使用PHP，CZ呼吁其他项目也发布同类安全说明。

10月21日，两处PHP漏洞补丁提前泄露细节，CZ（赵长鹏）提醒网民未来几天访问各类网站时务必提高警惕。他警示，攻击者利用这些漏洞无需登录，用户仅访问网站，就有可能导致账号凭证被盗、设备遭到入侵。

野外攻击已被证实

10月21日，CZ在X平台针对编号CVE-2026-109618、CVE-2026-109619的漏洞发文：“你们可以说我多虑，但接下来几天访问任何网站都要格外小心，部分网站管理员不一定及时打上安全补丁。”

美国国家安全局网络安全部门建议部署PHP的机构尽快升级；若无法立刻完成补丁更新，应下线受影响系统。FBI网络部门同样建议必要时停机，并提醒运维人员留意异常启动命令行的PHP进程。Cloudflare表示，在漏洞公开前已默认开启防火墙防护。

PHP基金会博文称，这两个CVE编号在10月20日就已在网上流传，当时标注的发布时间有误，严重等级被错标为满分10.0，实际为9.2，彼时还没有流出技术细节。

漏洞报送方之一Calif误放出漏洞利用演示视频，Chainguard也比约定时间提前六个多小时发布补丁镜像。有意思的是，基金会在漏洞正式发布时称尚未发现可用的攻击脚本，而CZ发文确认后续已经出现真实攻击。

CZ表示：漏洞披露后很快确认野外攻击已经出现，各大IT团队迅速启用WAF防护、推进打补丁。该漏洞属于未授权攻击，用户访问网站即可成为凭证窃取、设备入侵的攻击渠道。

BNB Chain、PancakeSwap确认系统不受影响

该警示并不代表所有加密平台都存在风险。BNB Chain高管Nina Rong证实，该公链技术栈不包含PHP；去中心化交易所PancakeSwap也公告其全部基础设施没有使用PHP，用户资金安全。

CZ随后转发了PancakeSwap的公告并评论：“大多数项目至少应该像这样发布一份确认声明。”

与此同时，OpenAI称其模型借助“Patch the Planet”计划协助研究人员发现该漏洞，评价这是近年影响力最大的漏洞之一。OpenAI表示，前沿AI在攻击者之前发现了该安全问题。

以太坊联合创始人Vitalik Buterin此前提出一个观点：AI黑客的出现会让网络安全陷入被动；他的逻辑是，既然AI能够推导复杂数学定理，理论上也可以完成程序安全性证明。