漏洞

ChainCatcher 消息，零知识证明基础设施 Succinct 已修复其 SP1 中的一个安全漏洞，该漏洞可能导致无效证明被判定为有效。 据 The Defiant 报道，缺陷存在于 6.0 至 6.8.0 版本的原生 Rust 验证路径中，通过 Solidity 验证器执行的链上 Groth16 与 Plonk 验证不受影响。

ChainCatcher 消息，比特币核心开发者 Antoine Poinsot 在比特币开发邮件列表中宣布调整安全漏洞披露政策。他表示，过去漏洞通常被长期保密，以便用户在细节公开前完成升级，但这也导致修复无法回移植到旧版本，用户需等待下一个大版本发布。Poinsot 指出，大语言模型使部分漏洞极易被重新发现，继续延迟修复所能提供的保护已十分有限。根据新政策，被判定为“易于发现”的漏洞将尽快在所有受维护的主版本中修复，并同步发布安全公告。该分类适用于仅需极少努力即可发现的漏洞，例如通过简单的 LLM 提示词。其他漏洞仍按严重程度遵循披露时间表：低严重性漏洞在包含修复的大版本发布两周后披露；中高严重性漏洞则在最后一个受影响版本达到生命周期终止（通常为修复在新大版本发布一年后）两周后披露。关键漏洞不在标准政策范围内，可能需要临时程序处理。比特币生态安全研究者 Luke de Wolf 表示，他过去不认同 Poinsot 的安全策略，但认为此次更新是好的调整。今年 8 月，志愿性质的 Bitcoin Red Team 在 390 个项目中报告了近 5000 个潜在问题，当时仅约五分之一得到复现。同月，Core Lightning 开发者在收到多份 AI 生成的漏洞报告后，敦促运营者升级或将节点下线，并保留技术细节两周。

ChainCatcher 消息，美国纽约州金融服务局表示，已就两个关键 PHP 漏洞发布警报，敦促受监管实体迅速识别并修复已知被利用的漏洞。

ChainCatcher 消息，据彭博社报道，亚马逊威胁情报团队发现，黑客早在 PHP 两项安全漏洞公开披露前数日，就已尝试利用相关漏洞。漏洞于周三公开后，黑客利用活动进一步扩大，亚马逊称相关漏洞正遭到广泛利用，但未披露具体受害者信息。 网络安全公司 Palo Alto Networks 发现，全球超过 2,260 万个暴露实例存在相关漏洞。Wiz 研究人员则估计该漏洞可能影响约 70% 的互联网，且已存在十余年，而 NCC Group 网络情报与响应副总裁 Matt Hull 警告部分存在漏洞的系统可能已遭入侵，甚至被植入后门。

ChainCatcher 消息，据 CoinDesk 报道，XRP Ledger 的漏洞修复补丁因验证者支持数一度降至 26 个（共 35 个），生效倒计时被重置，补丁推迟到 11 月生效。目前支持数已回升到 31 个，但由于两周的倒计时需要重新计算，这次修复错过了原本即将生效的时间窗口。

ChainCatcher 消息，隐私币项目 Pirate Chain 发布强制更新 v6.14，要求所有节点、矿池及交易所停用旧版本，立即升级。攻击者利用两个验证漏洞，在透明 coinbase 池增发约 3982 万枚伪造 ARRR，供应量一度增加约 20%。两个漏洞均已修复。经社区、矿池、交易所及 dPoW 公证节点达成共识，链已回滚至攻击前的区块 4,176,944，伪造代币已全部移除，余额恢复至攻击前状态，最大供应量仍为 2 亿枚。新版本首次启动时会自动重新索引全链，完整技术复盘报告将在之后发布。

ChainCatcher 消息，中国工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，PHP 存在两个远程代码执行超危漏洞，危害严重。PHP 是广泛用于 Web 开发的开源服务器端脚本语言，未经身份验证的攻击者可利用这两个漏洞远程执行任意代码，造成服务器受控、敏感信息泄露、业务中断等危害。受影响范围包括 8.5 系列低于 8.5.12、8.4 系列低于 8.4.27、8.3 系列低于 8.3.36、8.2 系列低于 8.2.35，以及 8.1 系列及更早版本。PHP 安全团队已修复漏洞并发布安全公告。NVDB 建议相关单位和用户立即排查，及时升级至最新安全版本，或采取临时下线、关闭会话上传进度功能、网络隔离、网络访问限制等临时防护措施，并加强监测和管理，及时修改账号、口令和密钥等凭证。

ChainCatcher 消息，据 Olaoluwa Osuntokun 监测，Lightning Labs 首席技术官表示，受 CVE-2026-111943 漏洞影响，强烈建议所有 lnd、btcd、tapd、litd 用户更新二进制文件，或使用 Go 1.27.3 重新构建。该漏洞涉及证书颁发机构被入侵，可能影响相关软件的安全性。

ChainCatcher 消息，BTCPay Server 已通过其 Docker 安装器更新可选的 WooCommerce/WordPress 部署，以应对近期披露的严重 PHP 漏洞。通过 BTCPay Server 运行 WooCommerce 的用户应立即更新，可直接在 BTCPay Server 内点击 “Update” 完成。

ChainCatcher 消息，腾讯云安全中心监测到，PHP 被披露其存在远程代码执行漏洞，漏洞编号分别为 CVE-2026-109618, CVE-2026-109619，代号 “php2shell”。可导致未经身份验证的远程攻击者通过发送特制的 multipart POST 请求，触发内存破坏并最终实现远程代码执行，从而完全控制服务器等危害。腾讯云安全建议及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

ChainCatcher 消息，据 Cointelegraph 报道，区块链安全公司 CertiK 表示，尽管 Google、苹果和 Microsoft 已封锁印度数字证书机构 eMudhra 签发的 8 张受影响证书，加密交易机器人和交易所应用仍可能暴露于相关漏洞风险，浏览器修复措施未必覆盖采用独立安全系统的软件。 CertiK 数字资产安全高级总监 Peiyu Wang 指出，攻击者可利用被攻破的证书冒充交易所、钱包界面和 API，替换充值地址或诱导用户批准恶意交易，但相关攻击还需拦截或重定向网络流量，仅凭受影响的证书机构密钥无法暴露钱包私钥。加密服务运营方应更新软件和证书信任库，并确认应用拒绝受影响证书。

ChainCatcher 消息，慢雾安全预警称，PHP 于 10 月 20 日发布安全公告，披露两个可能导致远程代码执行（RCE）的严重安全漏洞，编号分别为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4 评分均为 9.2。目前，PHP 官方尚未发布修复补丁，漏洞具体影响版本及利用条件仍待确认。根据现有信息，PHP 官方计划于 10 月 21 日 14:00 UTC（北京时间 22:00）发布安全更新。慢雾建议相关机构尽快排查服务器及业务系统中的 PHP 版本，重点关注公网暴露的 PHP 服务，并在补丁发布后及时升级；暂时无法升级的系统应限制访问来源，必要时采取隔离措施。

ChainCatcher 消息，链上数据平台 DefiLlama 宣布与预测市场平台 Trueo 合作，上线以 DefiLlama 数据结算的新预测市场，涵盖协议收入与漏洞发生概率。收入类市场包括 Hyperliquid、Pump、Aero、Uniswap、Collector Crypt 与 Papertrade 的协议收入。漏洞类市场覆盖 DeFi 黑客攻击及特定协议被利用的概率，包括本月 Aave、Morpho 是否发生漏洞，以及最大黑客事件规模的周度与月度市场。其他链上指标市场包括 Robinhood Chain 的 RWA 市值与 DEX 交易量，以及 Solana 与 Base 谁在本周末拥有更高 TVL。

ChainCatcher 消息，区块链安全研究机构 Asymmetric Research 披露，Solana 链上治理程序 svmgov 此前存在漏洞：当验证者未参与投票时，其委托人提前提交的独立投票可能无法计入最终结果。该漏洞于 7 月 10 日报告给 Solana 基金会，并于 8 月 3 日完成主网修复，早于 8 月 24 日的治理投票。Asymmetric Research 根据链上数据测算，若漏洞未修复，旨在加快 SOL 通胀下降速度的 SGP-0002 提案赞成率可能从实际的 67% 降至 66.65%，低于 66.67% 的通过门槛。此次漏洞已在投票前修复，未实际改变提案结果。

ChainCatcher 消息，据 The Defiant 报道，THORChain 宣布其 v3.21 版本升级将修复 Rujira 上的 FIN 合约漏洞，并允许此前暂停的应用层重启。该网络将升级目标设定为区块高度 28,366,100，预计时间约为 10 月 23 日。重启后，Rujira 上的交易、借贷、借款与自动化交易将恢复。Rujira 的产品通过 THORChain 内部的智能合约运行，而非独立的区块链，应用层暂停可在不影响 THORChain 基础层的情况下停止这些合约。 据 Rujira 披露，该漏洞于 9 月 26 日被发现，攻击者在未持有头寸的情况下转移了一笔自定义集中流动性头寸。团队在节点运营商支持下暂停了应用层，仅 Rujira 团队自身的一个头寸受到影响，没有用户资金损失。Rujira 将漏洞归因于头寸转移函数的缺陷，而非该流动性策略的交易逻辑。9 月 27 日，Rujira 表示修复位于基础层，并已排入 v3.21 升级。 关于重启窗口，Rujira 在 10 月 15 日的方案中提出有条件宽限期：若应用层准备恢复时，任何信用账户头寸的贷款价值比高于 100% 且符合清算条件，将请求节点运营商将信用账户合约再暂停 24 小时，以便借款人在清算恢复前补充抵押品。借款人已可通过 Rujira Borrow 或直接向信用账户地址转入资产来补充抵押品。Rujira 在 10 月 10 日提示，宽限期后仍不安全的头寸可在清算人触发流程时被清算。

ChainCatcher 消息，跨链兑换协议 NEAR Intents 发布事后报告，将 380 万美元漏洞归因于存款通知功能缺陷。该协议部署在 NEAR 上的公开结算合约维护存入代币的内部账本，提款则通过跨链桥将代币转出。报告由 NEAR Intents 总经理 Alex Shevchenko 于 10 月 16 日发布，称攻击者在 10 月 1 日协议关停前提取了 380 万美元，并在检测后 36 小时内归还全部资金，所有受影响用户已获全额补偿。报告显示，该功能会在代币存入时通知第三方合约。攻击者创建了一个故意让通知失败的合约，使代币合约退还存款，而 NEAR Intents 仍保留对应的账本信用额度。在 23 笔失败存款交易中，攻击者累积了 380 万美元无支撑余额，报告称之为 ghost funds，随后据此提取真实代币，并通过 Omni 基础设施转移至其他链。Shevchenko 表示，这是 NEAR Intents 合约的漏洞，而非 Omni 基础设施的漏洞。提款发生在 9 月 29 日至 10 月 1 日。结算合约于 10 月 1 日暂停并重新开放，受影响路由随后逐步恢复，合约侧存款于 10 月 2 日恢复。报告称，漏洞未被发现是因为监控仅比较原始链资产与 NEAR 侧代币总余额，未比较用户内部余额总和与合约实际持有的代币；团队已补充该检查，并在余额不一致时自动暂停合约。10 月漏洞的修复于 10 月 2 日部署，但同一功能另一起严重漏洞报告促使其于 10 月 7 日被完全移除，相关研究员获得 30 万美元奖励。

ChainCatcher 消息，隐私币项目 Pirate Chain 表示，其网络遭遇漏洞攻击，导致 3980 万枚 ARRR 代币被凭空生成。目前 Pirate Chain 网络仍在正常运行，但开发团队正在推进恢复工作，并已要求用户在恢复完成前不要转移资金。

ChainCatcher 消息，Backbone Labs 发行的流动性质押代币 bOSMO 在 Osmosis 社区池完成大额赎回后，合约支撑近乎耗尽。Osmosis 论坛 10 月 15 日的披露显示，约 40,508 枚 OSMO 被指定用于补偿 1,037 个账户。披露作者 Johnny Wyles 称，该质押合约自至少 2026 年 4 月起对每笔赎回超额支付，实际按约 1.676 OSMO 兑 1 枚 bOSMO 结算，而合约声明的兑换率约为 1.117 OSMO。该漏洞重复计算了质押在 Backbone 自有验证者上的 OSMO，使赎回者多获得约 50% 的资产，代价是剩余持有者的支撑被稀释。缺陷在准备清算社区池头寸时暴露，已通过的治理提案 1049 授权撤回 Margined 管理的金库头寸，并在其结束管理流动性业务时销毁回收的 OSMO。该池的 bOSMO 金库持有约 113.7 万枚 bOSMO，约占该代币总供应量的 97%；10 月 9 日 21:59 ET 执行的赎回交易销毁了 776,000 枚 bOSMO，并开始解绑约 130 万枚 OSMO。补偿以区块 72,237,940 时的合格余额为准，按 1.1174 OSMO 兑 1 枚 bOSMO 计算，快照后买入的 bOSMO 不在补偿范围内，存放在流动性池和其他合约中的底层持有者同样被纳入；

ChainCatcher 消息，Polygon Labs 官方公告，Bor v2.1.3 正式对外公开发布，此前已以私有版本形式向验证者及主要基础设施提供商分发。本次更新修复了 BlockSTM V2 并行块执行中的两项中危拒绝服务漏洞，均由安全研究人员通过 Immunefi 漏洞赏金计划提交。 无界 keccak256 缓存问题：攻击者可通过构造特定交易，在投机执行阶段填充数百 MiB 缓存，导致节点内存耗尽并延迟出块。修复方案为对共享缓存设置容量上限。并行执行中重复代码哈希计算问题：单笔交易可致并行处理器耗时约 11 秒，严重影响节点活性。修复方案为对代码哈希结果进行逐交易缓存。 此外，本次更新还包含多项内部加固：交易池地址过滤新增对 EIP-7702 SetCode 授权的拦截、RPC 批量执行池并发限制修复、并行执行跨自毁边界余额读取一致性修复，以及滞留待处理交易自动清理机制（默认 3 小时）。受影响版本为 Bor v2.1.1 和 v2.1.2。v2.1.3 非硬分叉，节点可逐个升级，无需协调。两项漏洞在主网及测试网 Amoy 上均未发现被利用记录。

ChainCatcher 消息，据 Bitcoin News 监测，Lightning Development Kit（LDK）已发布安全更新，修复可能导致恶意节点窃取资金的漏洞。最严重漏洞涉及 Lightning 通道重连。据 Bitcoin Optech，恶意节点可能虚假声称未收到此前已确认的通道更新。 存在漏洞的 LDK 软件随后可能在未正确记录相关交易的情况下签署冲突的承诺交易，使攻击者在转发支付完成后重新获得比特币。LDK 0.2.7 和 0.1.13 版本已修复该漏洞。截至已审查的披露信息，尚未发现由这些特定漏洞造成的已确认损失。