BitGo表示其平台未受关键PHP漏洞影响

图片：Rostislav Uzunov / Pexels

这家数字资产托管机构将功劳归于持续的安全测试和合作伙伴关系，相关补丁正在陆续发布，以修复严重性评分达9.2的漏洞。

2026年10月21日，星期三 · 美国东部时间10:57 · 阅读时长2分钟

安全方面

BitGo表示，其平台不受一对关键的PHP漏洞影响，这些漏洞在2026年10月21日令网站管理员们手忙脚乱。

所涉漏洞编号为CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分为9.2。

PHP漏洞的实际作用是什么

新披露的两个漏洞允许未经身份验证的远程代码执行和内存泄露。

远程代码执行意味着攻击者可以从互联网上的其他位置让服务器运行其选定的命令。未经身份验证意味着他们无需用户名或密码即可实施攻击。

内存泄露使攻击者能够读取服务器内存中本不应外泄的数据，其中可能包含敏感信息。

这些漏洞影响可追溯至PHP 5.x的受支持PHP版本，几乎所有处理Web请求的PHP安装均暴露于风险之中。

PHP基金会于2026年10月21日发布补丁，同日相关问题被曝光。运行PHP的组织已被告知立即打补丁，或将受影响系统下线。

BitGo将其未受影响的状态归因于与领先安全公司的长期合作关系。这些合作侧重于主动识别漏洞和开展红队测试。

该公司还通过HackerOne运营着一个公开的漏洞赏金计划。该计划为发现远程代码执行漏洞以及与客户资金直接相关的问题提供最高2万美元的奖励。

BitGo还已确立其作为联邦特许数字资产银行的地位。该公司声称保持着零泄露的记录，并拥有2.5亿美元的保险保障作为支撑。

区块链交易一旦结算，通常无法撤回。这使得服务器被成功入侵的代价与零售商泄露客户电子邮件列表等情况截然不同。

因此，当一个评分高达9.2的漏洞影响到支撑大部分网络运行的软件时，托管机构的客户都希望尽快得到答复。BitGo在补丁发布当天就给出了答复。

对于机构客户而言，BitGo的声明提醒人们，安全态势是在任何具体危机发生之前很久就已建立起来的。一家公司不可能在CVE发布的当天早上就凭空建立起多年的红队合作关系和公开的漏洞赏金计划。

由于几乎所有处理Web请求的PHP安装实例都处于暴露状态，任何补丁更新迟缓的组织仍可能是潜在的攻击目标。

披露：本文由John Chen编辑。如需了解我们如何创建和审核内容，请参阅我们的编辑政策。