漏洞

ChainCatcher 消息，Anthropic 披露，Claude 编写的漏洞利用程序可在特定 Linux 服务器上远程执行命令，Ubuntu 多个版本的修复仍在推进。

ChainCatcher 消息，区块链漏洞赏金平台 Immunefi 宣布上线 Immunefi Credits。自提交费用机制启动以来，研究员为有效报告支付的费用将获得等额 Credits，范围包括本人有效发现、有效报告的重复提交、私人已知问题，以及调解结果有利于研究员的情形。平台表示已有超过 700 名研究员获得 Credits，无需另行申请，额度可在控制台余额关联的 Credits 页面查看。Immunefi 表示，即日起 Credits 可用于支付平台内提交报告、调解、账户验证等费用，并在 Immunefi Studio 向公众开放后用于相关服务。1 个 Credit 价值 1 美元，可用 USDC 购买。Credits 不替代漏洞赏金或审计竞赛奖励，有效发现仍按原规则获得奖励，并额外获得与提交费用等额的 Credits。本次追溯发放的 Credits 自即日起有效期为 12 个月，此后每笔 Credits 自入账日起有效 12 个月，绑定账户，不可转让或兑现。可计入的情形还包括漏洞赏金中已支付或审计竞赛中已确认的本人发现、他人有效报告的重复项、私人已知问题及其重复项，以及调解胜诉时的调解费用。公开已知问题、无效报告、超出范围、违反政策、被拒报告的重复项以及本人报告的重复项不计入。账户验证费用在验证后有有效报告且准确率至少达到 25% 时可获得等额 Credits。费用机制自 3 月 24 日起适用于漏洞赏金，自 4 月 10 日起适用于审计竞赛，目前相关核验约每两周进行一次。

ChainCatcher 消息，开源 AI 从业者 Jun Song 在 X 发文称：昨日有匿名黑帽组织联系他，提出一项强化学习请求，愿支付极高金额，委托其对开源权重模型做后训练，所用数据为漏洞利用数据。Jun Song 同时运营韩国数据中心硬件出口业务，并推进项目 0xSupergemma。Jun Song 称，对方声称持有的攻击数据规模是他前所未见的，即便有人说这是执法机构卧底数据集，他也会相信。作为对照，他参与的一项白帽项目使用 GLM-5.3，数据量不到该规模的 1%，表现已大幅超过前沿模型。他已拒绝该请求，并表示真正担心的是最终会有其他人接受这笔交易。

ChainCatcher 消息，Solana 基金会验证者关系负责人 Tim Garcia 发推称，Linux 内核漏洞 CVE-2026-98432 已在 Linux 内核中修复，但 Ubuntu 尚未发布补丁。Tim Garcia 建议运行 Ubuntu 的验证者暂时阻止含 IPv4 选项的入站 TCP 数据包，并禁用多路径 TCP 及 TCP 请求套接字迁移。

ChainCatcher 消息，据 Cardano 生态治理组织 Intersect 发布的最新周报，一项编号为 CVE-2026-98432 的严重 Linux 内核漏洞可能影响包括 Ubuntu 在内的多个 Linux 发行版，其 CVSS 安全风险评分高达 9.8 分（满分 10 分）。 Intersect 警告 Cardano 质押池运营商（SPO），应立即检查区块生产节点及中继节点使用的 Linux 内核版本，并在对应发行版发布安全补丁后尽快更新和重启服务器。 目前，部分 Linux 发行版已提供修复补丁，但包括 Ubuntu 在内的部分发行版仍在准备更新。Intersect 表示，将通过官方 X 账号及质押池运营商社区持续发布安全指引。

ChainCatcher 消息，OnKey 创始人 Yishi 于 X 平台发文提醒，使用旧款 iPhone 作为加密资产冷钱包可能存在安全风险。iPhone 4S 至 iPhone X 存在于 BootROM 中的 checkm8 漏洞，今年 6 月公开 usbliter8 漏洞影响范围则包括 iPhone XS、XR、11 系列和第二代 SE，均涉及设备底层启动代码，无法通过 iOS 系统更新修复。攻击者在获得设备物理访问权限后，可通过 USB 接口在 iOS 启动前执行代码，开启飞行模式也无法阻止此类攻击。 Yishi 建议，iPhone 11 及更早机型不建议用于存储助记词，已经使用此类设备保存助记词的用户，应在可信环境中生成全新助记词并迁移资产，而非仅更换原助记词下的钱包地址。此外，用户还应及时更新系统、使用更复杂的设备及钱包密码，避免使用公共 USB 接口充电，并警惕设备长时间脱离自身控制期间可能遭受的物理攻击。 此前 OneKey 创始人 Yishi 曾于 X 平台发文建议用户使用 iPhone 作为冷钱包，但只建议用 iPhone 17 或更新的机型。

ChainCatcher 消息，据慢雾安全团队分析，跨链协议 zkLink 遭攻击，损失约 78.3 万美元。 攻击者利用瞬态存储中的残留验证值伪造提款验证所需的批次根，随后完成 12 次提款，包括 1 次 ETH 提款和 11 次 ERC-20 代币提款。 攻击者先通过一次真实跨链消息领取并写入验证值，再在同一笔交易的后续调用中复用该值，借助中继及网关合约写入伪造的批次根。 相关合约允许中继者指定外部调用目标和参数，验证值未被清除或绑定至当前调用；批次根更新仅校验网关身份，缺少独立证明验证。

ChainCatcher 消息，隐私公链 Iron Fish 官方发文称，将于当日正式终止对 Iron Fish 网络的全部剩余支持。团队表示，数日前观察到涉及 wIRON 与跨链桥 ChainPort 的异常活动，在与 ChainPort 合作并审阅其日志后，确认原因是 Iron Fish 区块链本身存在通胀漏洞。 官方称，该漏洞可追溯至 2019 年初 Merkle 树实现中的一次提交。当时开发者实现的是标准 Merkle 树，但由于票据 nullifier 的计算方式存在细节差异，攻击者得以多次花费同一票据，随后汇总相关票据并通过 ChainPort 跨链桥转出。官方表示，该代码路径曾纳入外部与内部审计范围，但审查时未被发现。 团队称，已在关闭并归档 ironfish 代码库之前提交漏洞补丁，并在相关 PR 中附上事后说明。Iron Fish 主网于 2023 年 4 月 20 日上线，开发公司后被 Coinbase 收购；基金会曾于 2026 年 4 月宣布转入维护模式。

ChainCatcher 消息，网络安全公司 XBOW 发文披露，其在美国选举援助委员会（EAC）的一款公开 Web 应用中发现一个未经身份验证即可利用的严重级别远程代码执行漏洞。该应用用于资源与物流计算，并非投票机或选民登记系统。漏洞可能允许攻击者通过构造特定 Web 请求，以 root 权限在后端容器中执行代码，并访问本地受保护资源及外部网络。XBOW 表示，已依据 EAC 公布的漏洞披露政策报告该问题，经 EAC 团队验证后，漏洞已于美国联邦中期选举之前修复。

ChainCatcher 消息，网络安全公司 XBOW 发文披露，其在美国选举援助委员会（EAC）的一款公开 Web 应用中发现一个未经身份验证即可利用的严重级别远程代码执行漏洞。该应用用于资源与物流计算，并非投票机或选民登记系统。

ChainCatcher 消息，印度证书颁发机构 eMudhra 的加密安全漏洞波及以太坊客户端 Teku 和 Besu。研究人员发现，eMudhra 旗下 8 个中间证书颁发机构的私钥因随机性不足而可能被推算，攻击者由此可能伪造证书，并诱骗未修复的软件信任恶意服务。Teku 已发布 26.1.3 版本，Besu 已发布 26.1.2 版本，均在 Docker 镜像中移除了对相关证书的信任。若攻击者实施中间人攻击，可能诱骗部分验证者将区块手续费奖励发送至攻击者地址；在使用外部签名器的特定配置下，风险可能更高。Teku 团队表示，默认配置的以太坊主网 Teku 节点不受影响，无需采取行动，目前尚无漏洞遭利用的报告。对于直接在主机上运行 Teku 或 Besu、未使用 Docker 的运营者，仅更新客户端可能不够，还需手动更新 Java 及其受信任证书列表。仍在使用已停止维护的 Java 26 的运营者，则需要迁移至 Java 25。

ChainCatcher 消息，Bitcoin Core 发现 3 个新漏洞，其中一项漏洞可使攻击者远程导致节点崩溃。该漏洞可通过耗尽内存影响运行 Windows、macOS 或 BSD 的节点，Linux 节点不受此攻击影响。另一项漏洞可逐步耗尽节点内存，第三项则可能损坏区块链撤销数据。

ChainCatcher 消息，研究人员在东京举行的一场安全会议上披露 Telegram 表情贴图功能存在零点击漏洞，并演示了攻击者无需用户进行任何交互，即可在 iOS 设备上执行代码。 不过，Telegram 对该漏洞的风险评估提出异议。

ChainCatcher 消息，据 Bitcoin News 监测，Electrum 于 2026 年 10 月 24 日发布 4.8.3 版本，修复一项已被用于真实攻击的安全漏洞。恶意服务器可向用户展示伪造交易，并在用户尝试通过替代手续费（RBF）加快交易时，诱导其签署向攻击者地址付款的交易；攻击者无需获取用户私钥。Electrum 称已收到两起相关报告，其中一名用户在提高手续费后损失比特币，并建议用户更新至 4.8.3 版本。

ChainCatcher 消息，比特币安全专家 Jameson Lopp 表示，网络攻击正沿“指数级”路径增长。他指出，过去两个半月漏洞发现数量呈指数级上升，攻击者率先采用未经审查的 AI 模型，安全研究人员“未能获得充分休息”。Lopp 解释，Bitcoin Core 已调整安全政策，因为 AI 能通过简单提示发现漏洞；安全防护需从每年一次的审计转向实时防御，并嵌入开发流程。他还分析了 PHP 远程代码执行漏洞，认为实际影响小于预期。此外，Lopp 提到谷歌 50 万量子比特的估算涉及物理量子比特与逻辑量子比特的差异；若量子威胁时间窗口不足十年，行业将处于落后状态。目前可用量子比特仅数百个，量子升级因 Taproot、共识规则和未经测试的密码学而需数年。约 30% 的地址存在公钥暴露，攻击者会优先针对这些地址；无法修补的硬件问题以及“扳手攻击”已超过 700 起。

ChainCatcher 消息，据 Initia 监测，针对 10 月 23 日发现的漏洞，安全修复方案已经拟定，目前正在与安全合作伙伴进行审计。审计完成后，Initia 将公布具体计划，说明如何恢复对受影响资产的支持，并有序重启 Initia L1 和 Rollup 网络。该流程预计将在未来几天内完成。

ChainCatcher 消息，据 CoinDesk 报道，大量 AI 辅助生成的漏洞报告涌入，促使 Solana 验证客户端 Firedancer 团队要求研究人员每提交一份漏洞报告永久销毁 1 枚 SOL（约 100 美元），以遏制垃圾报告。该费用不可退还，即使报告无效、超出范围或重复；未销毁 SOL 的报告无资格获得奖励。4 月 9 日至 5 月 9 日的 100 万美元审计竞赛吸引 162 名研究人员提交 809 份报告，产生 127 个独特安全发现，近半数有效提交为重复。Jump Crypto 认为，几乎所有提交都有 AI 代理参与发现或撰写，待处理报告一度积压至 299 份。与此同时，Jump 提高奖励标准，符合条件的发现在 11 月 20 日前可获得标准赏金的两倍，Alpenglow 特定漏洞为三倍，关键发现最高 30 万美元。

ChainCatcher 消息，据 CoinDesk 报道，以太坊开发者已修复 Glamsterdam 升级中的一个漏洞，该漏洞可能让运营者取走质押服务本用于新验证者的 ETH。修复改变了验证者存款的处理规则，于周一合并，而开发者一周前曾拒绝该修改。研究员 avsetsin 发现，运营者若先以特定公钥注册为构建者，而质押服务随后用同一密钥存入 ETH 启动验证者，草案规则会将两笔存款都记给构建者。avsetsin 称这是条件性代码发现，并非已确认的实时漏洞利用，现有检查可阻止攻击，目前没有损失报告。新规则按提款凭证对待处理存款排序，使验证者存款仍归属验证者。Glamsterdam 已在 Sepolia 测试网运行，但在 Hoodi 测试网的启动被推迟，主网启动前需确定新日期。

ChainCatcher 消息，漏洞赏金平台 Immunefi 首席执行官 Mitchell Amador 警告称，互联网用户仍面临由 PHP 漏洞引发的网络攻击风险，尤其是采用紧急升级较慢的小型网站，可能需要数周时间才能完成修补。他表示，“漏洞末日”正按计划到来，即发现漏洞的成本变得低廉，而修复漏洞的成本依然高昂。他建议用户在未来几周内将任何登录的网站视为可能已被攻破，避免重复使用密码，在连接加密钱包时保持谨慎，并撤销无法识别的代币授权。此前 PHP 基金会承认，由于资源短缺，其推迟修复了 2024 年首次发现的一个严重安全漏洞。PHP 开发者同日为两个严重漏洞发布了紧急补丁，但各网站仍需自行完成升级。Cloudflare 首席执行官 Matthew Prince 表示，在 PHP 漏洞公开披露后的 24 小时内，网络记录了数百万次利用尝试，甚至在披露前就已有数千次尝试。据 W3Techs 估计，PHP 为约 69% 拥有已知服务器端编程语言的网站提供支持，这些漏洞可能允许攻击者传播恶意软件或向网站注入恶意脚本。美国联邦调查局网络部门也警告称，这些漏洞可能允许恶意行为者“在 PHP 核心中远程执行代码，从而可能危及敏感数据和网络”。Amador 在 6 月接受 Cointelegraph 采访时曾警告，前沿 AI 模型的普及改变了网络安全的格局，使攻击者占据优势，导致“漏洞末日”出现，并引发了 DeFi 黑客攻击的回升。Immunefi 是全球最大的漏洞赏金平台，迄今已向 650 个协议支付了 1.4 亿美元的赏金。

ChainCatcher 消息，一名研究员利用 PHP 漏洞成功破解了“偷走我的比特币”（Steal My Bitcoin）挑战。该挑战的奖金为 0.02511679 BTC。然而，挑战运营方在事后发现服务器上保存的是错误的钱包密钥，最终不得不手动将奖金转给该研究员。