BitGo 表示其平台未受嚴重的 PHP 漏洞影響

照片：Rostislav Uzunov / Pexels

這家數位資產託管機構將持續進行的安全測試與合作夥伴關係歸功於嚴重性評分達9.2的漏洞修補程式逐步推出。

2026年10月21日（週三）· 10:57 EDT · 閱讀時間 2 分鐘

在安全性方面

BitGo 表示，其平台不受一對嚴重的 PHP 漏洞影響，這些漏洞在 2026 年 10 月 21 日讓網站管理員們手忙腳亂。

這些漏洞分別被追蹤為 CVE-2026-109618 和 CVE-2026-109619，其 CVSS v4.0 評分為 9.2。

PHP 漏洞的實際作用

這兩個新披露的漏洞允許未經身分驗證的遠端程式碼執行與記憶體洩露。

遠端程式碼執行是指攻擊者可以從網際網路上的其他位置，讓伺服器執行他們所選的命令。未經身分驗證是指他們不需要使用者名稱或密碼就能做到。

記憶體揭露讓攻擊者得以讀取伺服器記憶體中本不該外流的資料，其中可能包含敏感資訊。

這些漏洞影響可追溯至 PHP 5.x 的受支援 PHP 版本，而幾乎所有處理網頁請求的 PHP 安裝皆暴露於風險之中。

PHP 基金會於 2026 年 10 月 21 日發布修補程式，當天這些問題即曝光。使用 PHP 的組織已被告知應立即修補，或將受影響的系統離線。

BitGo 將其未受影響的狀態歸因於與領先安全公司長期以來的合作關係。這些合作夥伴關係專注於主動識別漏洞與紅隊演練。

該公司還透過 HackerOne 運行公開的漏洞賞金計畫。對於發現遠端程式碼執行漏洞以及與客戶資金直接相關的問題，該計畫提供最高達 $20,000 的獎勵。

BitGo 也已確立自身作為聯邦特許數位資產銀行的地位。該公司聲稱擁有零外洩的紀錄，並由 $250 million 的保險保障作為後盾。

區塊鏈交易一旦結算，通常無法追回。這使得伺服器遭成功入侵的代價，與零售商洩漏客戶電子郵件清單等情況截然不同。

因此，當一個評分高達9.2的漏洞波及支撐大多數網路的軟體時，託管機構的客戶都希望盡快得到答覆。BitGo在修補程式發布的當天就給出了答案。

對機構客戶而言，BitGo 的聲明提醒了他們，安全態勢是在任何具體危機發生之前許久便已建立起來的。一家公司不可能在 CVE 發布的當天早上，就迅速建立起多年的紅隊合作關係和公開的漏洞賞金計畫。

由於幾乎所有 PHP 安裝都暴露於處理網頁請求的環境中，任何遲遲未修補的組織仍是潛在目標。

披露：本文由 John Chen 編輯。如需了解我們如何製作與審閱內容的更多資訊，請參閱我們的編輯政策。