漏洞

ChainCatcher 消息，网络安全公司 XBOW 发文披露，其在美国选举援助委员会（EAC）的一款公开 Web 应用中发现一个未经身份验证即可利用的严重级别远程代码执行漏洞。该应用用于资源与物流计算，并非投票机或选民登记系统。

ChainCatcher 消息，印度证书颁发机构 eMudhra 的加密安全漏洞波及以太坊客户端 Teku 和 Besu。研究人员发现，eMudhra 旗下 8 个中间证书颁发机构的私钥因随机性不足而可能被推算，攻击者由此可能伪造证书，并诱骗未修复的软件信任恶意服务。Teku 已发布 26.1.3 版本，Besu 已发布 26.1.2 版本，均在 Docker 镜像中移除了对相关证书的信任。若攻击者实施中间人攻击，可能诱骗部分验证者将区块手续费奖励发送至攻击者地址；在使用外部签名器的特定配置下，风险可能更高。Teku 团队表示，默认配置的以太坊主网 Teku 节点不受影响，无需采取行动，目前尚无漏洞遭利用的报告。对于直接在主机上运行 Teku 或 Besu、未使用 Docker 的运营者，仅更新客户端可能不够，还需手动更新 Java 及其受信任证书列表。仍在使用已停止维护的 Java 26 的运营者，则需要迁移至 Java 25。

ChainCatcher 消息，Bitcoin Core 发现 3 个新漏洞，其中一项漏洞可使攻击者远程导致节点崩溃。该漏洞可通过耗尽内存影响运行 Windows、macOS 或 BSD 的节点，Linux 节点不受此攻击影响。另一项漏洞可逐步耗尽节点内存，第三项则可能损坏区块链撤销数据。

ChainCatcher 消息，研究人员在东京举行的一场安全会议上披露 Telegram 表情贴图功能存在零点击漏洞，并演示了攻击者无需用户进行任何交互，即可在 iOS 设备上执行代码。 不过，Telegram 对该漏洞的风险评估提出异议。

ChainCatcher 消息，据 Bitcoin News 监测，Electrum 于 2026 年 10 月 24 日发布 4.8.3 版本，修复一项已被用于真实攻击的安全漏洞。恶意服务器可向用户展示伪造交易，并在用户尝试通过替代手续费（RBF）加快交易时，诱导其签署向攻击者地址付款的交易；攻击者无需获取用户私钥。Electrum 称已收到两起相关报告，其中一名用户在提高手续费后损失比特币，并建议用户更新至 4.8.3 版本。

ChainCatcher 消息，比特币安全专家 Jameson Lopp 表示，网络攻击正沿“指数级”路径增长。他指出，过去两个半月漏洞发现数量呈指数级上升，攻击者率先采用未经审查的 AI 模型，安全研究人员“未能获得充分休息”。Lopp 解释，Bitcoin Core 已调整安全政策，因为 AI 能通过简单提示发现漏洞；安全防护需从每年一次的审计转向实时防御，并嵌入开发流程。他还分析了 PHP 远程代码执行漏洞，认为实际影响小于预期。此外，Lopp 提到谷歌 50 万量子比特的估算涉及物理量子比特与逻辑量子比特的差异；若量子威胁时间窗口不足十年，行业将处于落后状态。目前可用量子比特仅数百个，量子升级因 Taproot、共识规则和未经测试的密码学而需数年。约 30% 的地址存在公钥暴露，攻击者会优先针对这些地址；无法修补的硬件问题以及“扳手攻击”已超过 700 起。

ChainCatcher 消息，据 Initia 监测，针对 10 月 23 日发现的漏洞，安全修复方案已经拟定，目前正在与安全合作伙伴进行审计。审计完成后，Initia 将公布具体计划，说明如何恢复对受影响资产的支持，并有序重启 Initia L1 和 Rollup 网络。该流程预计将在未来几天内完成。

ChainCatcher 消息，据 CoinDesk 报道，大量 AI 辅助生成的漏洞报告涌入，促使 Solana 验证客户端 Firedancer 团队要求研究人员每提交一份漏洞报告永久销毁 1 枚 SOL（约 100 美元），以遏制垃圾报告。该费用不可退还，即使报告无效、超出范围或重复；未销毁 SOL 的报告无资格获得奖励。4 月 9 日至 5 月 9 日的 100 万美元审计竞赛吸引 162 名研究人员提交 809 份报告，产生 127 个独特安全发现，近半数有效提交为重复。Jump Crypto 认为，几乎所有提交都有 AI 代理参与发现或撰写，待处理报告一度积压至 299 份。与此同时，Jump 提高奖励标准，符合条件的发现在 11 月 20 日前可获得标准赏金的两倍，Alpenglow 特定漏洞为三倍，关键发现最高 30 万美元。

ChainCatcher 消息，据 CoinDesk 报道，以太坊开发者已修复 Glamsterdam 升级中的一个漏洞，该漏洞可能让运营者取走质押服务本用于新验证者的 ETH。修复改变了验证者存款的处理规则，于周一合并，而开发者一周前曾拒绝该修改。研究员 avsetsin 发现，运营者若先以特定公钥注册为构建者，而质押服务随后用同一密钥存入 ETH 启动验证者，草案规则会将两笔存款都记给构建者。avsetsin 称这是条件性代码发现，并非已确认的实时漏洞利用，现有检查可阻止攻击，目前没有损失报告。新规则按提款凭证对待处理存款排序，使验证者存款仍归属验证者。Glamsterdam 已在 Sepolia 测试网运行，但在 Hoodi 测试网的启动被推迟，主网启动前需确定新日期。

ChainCatcher 消息，漏洞赏金平台 Immunefi 首席执行官 Mitchell Amador 警告称，互联网用户仍面临由 PHP 漏洞引发的网络攻击风险，尤其是采用紧急升级较慢的小型网站，可能需要数周时间才能完成修补。他表示，“漏洞末日”正按计划到来，即发现漏洞的成本变得低廉，而修复漏洞的成本依然高昂。他建议用户在未来几周内将任何登录的网站视为可能已被攻破，避免重复使用密码，在连接加密钱包时保持谨慎，并撤销无法识别的代币授权。此前 PHP 基金会承认，由于资源短缺，其推迟修复了 2024 年首次发现的一个严重安全漏洞。PHP 开发者同日为两个严重漏洞发布了紧急补丁，但各网站仍需自行完成升级。Cloudflare 首席执行官 Matthew Prince 表示，在 PHP 漏洞公开披露后的 24 小时内，网络记录了数百万次利用尝试，甚至在披露前就已有数千次尝试。据 W3Techs 估计，PHP 为约 69% 拥有已知服务器端编程语言的网站提供支持，这些漏洞可能允许攻击者传播恶意软件或向网站注入恶意脚本。美国联邦调查局网络部门也警告称，这些漏洞可能允许恶意行为者“在 PHP 核心中远程执行代码，从而可能危及敏感数据和网络”。Amador 在 6 月接受 Cointelegraph 采访时曾警告，前沿 AI 模型的普及改变了网络安全的格局，使攻击者占据优势，导致“漏洞末日”出现，并引发了 DeFi 黑客攻击的回升。Immunefi 是全球最大的漏洞赏金平台，迄今已向 650 个协议支付了 1.4 亿美元的赏金。

ChainCatcher 消息，一名研究员利用 PHP 漏洞成功破解了“偷走我的比特币”（Steal My Bitcoin）挑战。该挑战的奖金为 0.02511679 BTC。然而，挑战运营方在事后发现服务器上保存的是错误的钱包密钥，最终不得不手动将奖金转给该研究员。

ChainCatcher 消息，比特币轻钱包 Electrum 于 10 月 24 日披露一种针对交易加费的恶意服务器攻击，并在 4.8.3 版本中修复，对应 GitHub 安全公告 GHSA-6jp4-8v48-cc5v。用户对交易做常规加费时，可能把资金签给攻击者。开发者称，起因是用户报告在签署加费后损失资金。两份报告结果不同：一人广播付款后发现钱包历史中的交易被替换，并称原付款未进入比特币点对点网络、被服务器扣留；另一人 Raju-K12 对替换后的交易加费并损失资金。攻击中，恶意服务器扣留客户端广播的新交易，并在历史中放入一笔冲突交易，把原输出换成攻击者地址。该替换交易当时签名无效，但轻客户端展示未确认交易前未核对这些签名；用户通过 RBF 手动加费并签名后，攻击者收款生效。两人均称攻击者地址与合法收款地址末四位相同。公告未公布被盗金额、交易标识或攻击者地址。补丁对应提交 90fe308，在把内存池交易写入本地历史前，核对该钱包自有输入的签名，但不覆盖钱包外地址的输入，也不做完整共识验证。公告建议未升级用户在每次签名时核对输出地址与金额；连接自有或可信服务器的客户端不受此攻击影响。时间线上，10 月 11 日首次私下披露，10 月 18 日收到加费损失报告，修复版本于 10 月 23 日打标签，二进制与公开披露在 10 月 24 日。

ChainCatcher 消息，加密硬件钱包制造商 Keystone 披露，其网站遭遇安全漏洞，未经授权的第三方获取客户姓名、联系方式、收货地址及订单商品等信息。Keystone 表示，已封锁访问、修复漏洞并展开调查，同时通知受影响客户，但未披露受影响人数。安全研究员 Taylor Monahan 警告，泄露的收货地址可能使客户面临定向诈骗及人身攻击风险。Keystone 2023 年曾表示将客户数据保留期限缩短至 180 天，但有客户称购买设备两年多后仍收到泄露通知。

ChainCatcher 消息，路透社 10 月 23 日报道，支持开源语言 PHP 的非营利组织 PHP 基金会执行董事 Elizabeth Barron 周五通过电子邮件接受采访时表示：基金会资金严重不足。她说，近期事件表明企业和政府高度依赖 PHP，鉴于这种依赖，PHP 的资金明显不足。Barron 称，基金会目前仅有 1 名全职员工，即她本人，另有 14 名以兼职为主的承包人员，资金来自捐赠和拨款。与人工智能相关的编码增加，使基金会工作量大约翻倍。PHP 项目收到的代码变更提案几乎是一年前的两倍，但贡献者数量并未翻倍。她表示，审查代码贡献和漏洞报告需要大量人工投入与经验。路透社称，本周发现 PHP 的两个严重漏洞，引发全球网站紧急修补，显示这门约三十年的开源语言对互联网至关重要。文中称，PHP 可能支撑全球最多约 70% 的网站，目前未见这些漏洞在披露前被利用的证据。报道由记者 Toby Sterling 发自阿姆斯特丹。

ChainCatcher 消息，据 Bitcoin News 报道，研究人员称 Tailscale 存在严重漏洞，拥有获批访问权限的用户可利用其内置 SSH 获取设备 root 权限，攻击还可能扩散至网络中的其他设备。 使用 Tailscale 运行节点的用户应关闭 Tailscale SSH，并在补丁发布后及时更新。Tailscale 尚未回应。

ChainCatcher 消息，据 BlockSec 监测，X100 Global 在以太坊上的一笔可疑交易造成约 475 万美元损失，相关攻击源于治理机制设计漏洞：攻击者利用闪电贷借入资金购买 X 代币，并将代币分配至两个受控合约，再将其存入 Freezer，从而在同一笔交易中控制 3 个参议员席位中的 2 个，随后立即通过并执行恶意金库提案。 具体而言，攻击者先创建并向 PancakeSwap V3 的 X-USDT 交易池提供流动性，再利用取得的治理多数席位，批准将 40 万枚 X 代币兑换至该交易池，且将最低输出量设为 0，最终仅获得约 35.68 USDT。随后，攻击者撤出流动性，通过既有的 Uniswap V3 X-USDT 交易池出售部分收回的 X 代币，并偿还闪电贷。

ChainCatcher 消息，Succinct 旗下零知识证明系统 SP1 曝出高严重性可靠性漏洞。该漏洞通过 GitHub 公告 GHSA-p7v2-jjv3-8p8f 披露，影响 SP1 原生 Rust 验证器 6.0 至 6.8.0 版本，使主网 Prover Network 可能接受无效证明：恶意证明者可提交无效执行的证明，而网络验证器仍会接受。 漏洞原因是验证器仅读取数据的标签（声明维度），未校验实际存储元素数量是否等于维度乘积，攻击者可伪造标签使无效证明通过。采用固定形状 wrap 证明的 Groth16 与 Plonk 检查不受影响，链上 Solidity 检查器亦安全。Succinct 于 9 月 24 日发布修复版本 6.8.1，并已部署至主网；该版本新增反序列化长度校验。 漏洞由 Vitalis Salis 发现，并经 Immunefi 漏洞赏金计划上报。自行运行原生 Rust 验证器且接受不可信证明者的用户需升级至 6.8.1。

ChainCatcher 消息，Initia 在 X 平台发帖称，攻击者于 10 月 23 日 22:59（UTC+8）利用 Initia MoveVM 脚本缓存漏洞绕过安全检查，伪造 MoveVM 状态，为自己记入无实际支撑的 WETH、iUSD 和 USDC，相关代币总供应量未发生变化；INIT 未被增发，总供应量不受影响。网络暂停前，攻击者已转出约 270 万美元资产，包括通过 LayerZero 转出的 105 枚 WETH 和约 140 万枚 AUSD0，以及通过 Noble 和 CCTP 转出的约 108 万枚 USDC，随后兑换为 1135.52 枚 ETH，目前存放于以太坊地址 0x358ef0130f7a5aa516dcd81bdc80b18cde41cac8。Initia 表示，安全修复预计将在数天内完成并通过审计，资产追回工作正与安全合作伙伴推进，L1 及 Rollup 仍处于暂停状态，后续将发布完整事后复盘报告。

ChainCatcher 消息，国家信息安全漏洞共享平台（CNVD）发布《关于 PHP 远程代码执行漏洞分析及修复建议的安全公告》，其中支持受影响用户应密切关注官方信息，通过官方渠道下载并更新至最新版本，暂无法更新的用户可采取措施减少部分攻击路径，缓解漏洞威胁，持续监测 PHP 进程异常退出、系统异常命令调用、陌生进程创建、异常文件写入等行为，留存日志用于溯源分析。 CNVD 在防护建议中表示，信息系统运营单位应进一步加强安全防护，全面梳理本单位网络资产，按照非必要不上网原则，缩小信息系统的公网暴露面；暂不具备修复条件的运营单位应采取网络隔离、网络访问限制、非必要业务系统下线等临时性应对措施。

ChainCatcher 消息，据慢雾余弦监测，用户应及时更新 iPhone 和 iPad 系统，并警惕已安装的部分 App 遭 DarkSword 投毒。 DarkSword 主要针对 iPhone 币圈用户进行定点攻击和盗币，利用 iOS 相关漏洞突破沙盒，窃取 Keychain 中的各类密码等隐私数据，以及钱包本地私钥文件、备忘录等隐私数据。