代碼

ChainCatcher 消息，網路安全公司 XBOW 發文披露，其在美國選舉援助委員會（EAC）的一款公開 Web 應用中發現一個未經身份驗證即可利用的嚴重級別遠程代碼執行漏洞。該應用用於資源與物流計算，並非投票機或選民登記系統。

ChainCatcher 消息，研究人員在東京舉行的一場安全會議上披露 Telegram 表情貼圖功能存在零點擊漏洞，並演示了攻擊者無需用戶進行任何互動，即可在 iOS 設備上執行代碼。不過，Telegram 對該漏洞的風險評估提出異議。

ChainCatcher 消息，据慢雾披露，其安全人员在日常威脅情報排查中，發現 Udesk 客服系統相關腳本 udeskApi.2026-10-16.cached.js 被植入惡意加載器。該加載器通過十六進制編碼隱藏地址，異步加載遠程腳本 deeps.js（來源為 udeskqlobal[.]com，注意域名以字母 q 開頭）。該腳本會讀取頁面可訪問的 Cookie、localStorage 和 sessionStorage，並攔截表單及登錄、認證類請求，將數據發送至 udeskqlobal[.]com/c.php，攻擊者可能藉此冒用會話或接管帳戶。該數據收集行為不受目標站點規則限制，未匹配的頁面同樣可能受影響。據慢雾分析，該腳本還針對 mgbx[.]com、bikingex[.] 和 bitxex[.]io 三類站點，每 200 毫秒掃描一次充值頁面，並將識別出的充值地址替換為預設的 BTC、EVM、TRON、Solana、LTC 和 DOGE 地址。同時，腳本通過包裝剪貼板 API、替換複製按鈕和攔截複製事件，使用戶看到並複製的都是被篡改的地址。用戶若按該地址轉賬，資金將流入攻擊者地址。

ChainCatcher 消息，Anthropic 公開提交納斯達克 IPO 申請，股票代碼為"ANT"。Anthropic 上半年營收 163 億美元。Anthropic 未來可能無法實現或維持盈利。Anthropic 截至 2026 年 6 月 30 日的六個月淨虧損 807 億美元。高盛和摩根士丹利牽頭 Anthropic 的 IPO。Anthropic 披露，公司預計到 2033 年前向谷歌支付至多約 1145 億美元，並根據與博通的租賃安排，在租賃期內支付約 1612 億美元租金（不含利息）。Anthropic 表示，計算和基礎設施費用按絕對金額計算預計將持續增加，並在可預見的未來成為公司最大的運營支出。公司相信現有可用現金及現金等價物足以滿足至少未來 12 個月的營運資金及其他需求，但也警告，可能需要比目前預期更早地尋求額外融資。在安全方面，Anthropic 稱，近期已將新一代前沿基礎模型的預訓練推遲一個多月，以加強安全措施、防止模型權重外洩。公司還指出，隨著 AI 系統逐步實現 AI 研發自動化，相關風險將隨之增加。

ChainCatcher 消息，据美國證券交易委員會（SEC）披露文件，Cryptex Digital Market Cap ETF 於 10 月 23 日提交第六次生效前 S-1 修訂稿，擬以 "BAGZ" 為交易代碼在納斯達克上市，發起人為 Cryptex Finance。該基金計劃直接持有多種加密資產，依據 Cryptex Digital Market Cap Index 的成分及權重構建投資組合，並隨指數進行再平衡。文件列出的初期可能達到基金淨資產值 5% 或以上配置的資產包括 BTC、ETH、XRP、HYPE、DOGE、SHIB、ADA 及 CTX，具體構成和權重將隨時間變化。此次提交屬於註冊申請更新，不代表 SEC 已批准該產品或其已開始交易。

ChainCatcher 消息，Paradigm 首席技術官 Georgios Konstantopoulos 發推表示，本週將發布 Solar 的 EVM 代碼生成（codegen）功能，其速度較 solc 快 100 倍以上，且無需編寫任何匯編代碼即可生成 Gas 效率更高的位元組碼。

ChainCatcher 消息，OpenAI 在 X 平台發帖稱，其在近期紅隊演練中發現，廣泛使用的壓縮庫 Brotli 存在一個無需身份驗證即可遠程執行代碼的漏洞，Node.js、Bun、Envoy 等軟體均內置該庫。攻擊者可通過發送惡意壓縮數據接管未修補的伺服器，也可通過惡意伺服器接管接受壓縮數據的客戶端。OpenAI 表示，該問題的根源已於今年 2 月在 Brotli 源碼中修復，但當時未被識別為安全漏洞，內置該庫的軟體均需同步更新。據 The Hacker News 報道，該漏洞編號為 CVE-2026-111497，Node.js 已於 10 月 21 日發布修復版本。

ChainCatcher 消息，中國工業和信息化部網絡安全威脅和漏洞信息共享平台（NVDB）監測發現，PHP 存在兩個遠程代碼執行超危漏洞，危害嚴重。PHP 是廣泛用於 Web 開發的開源伺服器端腳本語言，未經身份驗證的攻擊者可利用這兩個漏洞遠程執行任意代碼，造成伺服器受控、敏感信息洩露、業務中斷等危害。受影響範圍包括 8.5 系列低於 8.5.12、8.4 系列低於 8.4.27、8.3 系列低於 8.3.36、8.2 系列低於 8.2.35，以及 8.1 系列及更早版本。PHP 安全團隊已修復漏洞並發布安全公告。NVDB 建議相關單位和用戶立即排查，及時升級至最新安全版本，或採取臨時下線、關閉會話上傳進度功能、網絡隔離、網絡訪問限制等臨時防護措施，並加強監測和管理，及時修改帳號、口令和密鑰等憑證。

ChainCatcher 消息，騰訊雲安全中心監測到，PHP 被披露其存在遠程代碼執行漏洞，漏洞編號分別為 CVE-2026-109618, CVE-2026-109619，代號 "php2shell"。可導致未經身份驗證的遠程攻擊者透過發送特製的 multipart POST 請求，觸發記憶體破壞並最終實現遠程代碼執行，從而完全控制伺服器等危害。騰訊雲安全建議及時開展安全自查，如在受影響範圍，請您及時進行更新修復，避免被外部攻擊者入侵。

ChainCatcher 消息，慢霧安全預警稱，PHP 於 10 月 20 日發布安全公告，披露兩個可能導致遠程代碼執行（RCE）的嚴重安全漏洞，編號分別為 CVE-2026-109618 和 CVE-2026-109619，CVSS v4 評分均為 9.2。目前，PHP 官方尚未發布修復補丁，漏洞具體影響版本及利用條件仍待確認。根據現有信息，PHP 官方計劃於 10 月 21 日 14:00 UTC（北京時間 22:00）發布安全更新。慢霧建議相關機構儘快排查伺服器及業務系統中的 PHP 版本，重點關注公網暴露的 PHP 服務，並在補丁發布後及時升級；暫時無法升級的系統應限制訪問來源，必要時採取隔離措施。

ChainCatcher 消息，据 Hyperliquid News 消息，entropyIO 以 574.98 枚 HYPE（約合 46,068 美元）買下 MOONSHOT ticker。這是 Hyperliquid 新增的 HIP-3 ticker。

ChainCatcher 消息，安全機構 SlowMist（慢霧）發布了一份關於 DarkSword 木馬後端及 iOS 攻擊鏈的深度威脅情報報告。報告追蹤了該攻擊基礎設施的演進過程，並揭示了其針對加密資產用戶的高度危險性。據慢霧分析，自 2026 年 3 月相關漏洞利用代碼公開後，DarkSword-PROV2 於 7 月現身 GitHub，其攻擊基礎設施在 9 月下旬被觀測到已上線運行。慢霧團隊不僅追蹤了其在線基礎設施，還將其管理面板與公開的 GitHub 倉庫進行了關聯，並拆解了漏洞利用代碼、投遞鏈及攻陷後的利用能力。報告指出了該攻擊框架的幾個關鍵發現：高度自動化的完整攻擊流水線，集成了漏洞投遞、設備與數據收集、數據竊取以及加密錢包資金歸集功能。廣泛且深入的數據竊取能力，該工具包不僅針對鑰匙串、文件和信息，還專門針對加密錢包數據，具備解密錢包數據和歸集資金的能力。儘管該工具包宣稱支持 iOS 13 及更高版本，但代碼分析證實，其實際有效的漏洞利用窗口集中在 iOS 18.6--18.7.2 以及 iOS 26--26.1 兩個版本區間。公開的漏洞組件已被武器化並整合進可部署的攻擊框架中，這極大地降低了發起複雜 iOS 攻擊的門檻。針對此威脅，慢霧給出了明確的安全建議。用戶應保持 iOS 系統更新，並避免點擊不可信鏈接，因為僅在 Safari 瀏覽器中打開惡意頁面就可能觸發漏洞。如果設備曾訪問過可疑落地頁，用戶應直接將助記詞和私鑰視為已洩露，必須使用從未訪問過該頁面的乾淨設備創建新錢包並轉移資產。此外，用戶還需全面檢查各鏈上的異常交易與代幣授權，並立即撤銷不必要的授權。

ChainCatcher 消息，XRP Ledger 一項名為 fixCleanup3_4_0 的漏洞修復包預計於 10 月 23 日 09:34 UTC 前後正式生效。該修復包已獲得 29 個驗證者投票，達到網路預設 35 個驗證者中超過 80% 的通過門檻，且需連續維持兩週，目前倒計時已進行九天。由於票數沒有餘量，一旦有驗證者撤回支持，倒計時將重新開始。該修復包部分修補了 Ripple 自 6 月起向銀行和支付公司推介的無抵押借貸系統，但該系統尚未啟用。其中借貸修正案目前僅有 19 票，用於存放資金的 vault 修正案有 21 票，兩者均未啟動倒計時，因此即便今日同時達到 29 票，借貸功能最早也要到 11 月初才能上線。按照設計，貸款人將 XRP 或其他代幣存入 vault，貸款經紀人再以固定期限將資金借出，帳本負責記錄貸款並追蹤還款，經紀人則在鏈下判斷借款人資質。由於借款方無需提供抵押，經紀人的判斷成為貸款人免受違約損失的唯一保障，Ripple 將該方案推介給需要在跨境結算期間獲得流動性的支付公司。此外，修復包還封堵了一個漏洞，即僅被授權銷毀代幣的帳戶在特定條件下可創建新代幣，並調整了 vault 金額取整以及貸款逾期與違約的判定規則。

ChainCatcher 消息，HIP-3 市場部署者 Paragon 花費 570.98 枚 HYPE（約 4.5 萬美元）拍下代碼 PAPER，或即將上線 Papertrade（PAPER）永續合約。Papertrade 是部署於 HyperEVM 的鏈上合成永續合約交易平台，提供最高 1000 倍槓桿。其代幣 PAPER 透過用戶已實現的交易虧損鑄造，無預挖、團隊或風投分配。

ChainCatcher 消息，Google DeepMind 在 Gemini 4 Argon 安全報告中公布首次針對機器學習研發自動化的整體實證評估，結論是 AI 並未加速 AI 自身的研發，儘管 AI 已編寫該實驗室工程師交付的大部分代碼。參與評估的研究員 Haydn Belfield 在 X 上表示，目前不存在顯著的端到端 ML R&D 加速，因此 AI 驅動 ML R&D 的風險目前較低。團隊構建了內部指數 GCI v1，將 123 個 AI 模型在 92 個基準上的得分合成單一數值。前沿 Gemini 能力以約每月 0.1 GCI 點的穩定速度提升，Gemini 1.5 Pro 在 2024 年底接近 0.5 點，Gemini 3.8 Flash 在 2026 年 9 月略高於 2.9 點，Argon 約 3.3 點高於趨勢線，但 Belfield 稱這源於算力與組織投入增加，而非 AI 驅動的加速。DeepMind 生產代碼中超過 75% 由 AI 編寫，完全委託的代碼合併請求比例在 4 月至 9 月間從 7.5% 升至 11.9%，但約 88% 的請求仍需多輪人工引導或人工編寫。對 12 位資深研究者的調查顯示，自動化在明確、可驗證的執行任務中最高，在開放式科學構想、新實驗設計與診斷訓練不穩定等環節最低。

ChainCatcher 消息，据 HashKey Exchange 公告，潘渡旗下 Solana 現貨 ETF 于 10 月 13 日正式在香港交易所挂牌，股票代碼為 2831.HK。該基金直接持有 SOL，年度管理費為 0.6%。HashKey 援引 SoSoValue 當日收盤數據稱，按資產管理規模計算，該基金已成為亞洲已上市、受監管 Solana 現貨 ETF 中規模最大的產品。HashKey Exchange 擔任該基金的數字資產交易平台，旗下 HashKey Custody Services 提供 SOL 次級托管服務，支持底層資產的托管、交易及申購結算。

ChainCatcher 消息，加密 ETP 發行商 21Shares 宣布在維也納 MTF（多邊交易設施）上市一款與 Anthropic 掛鉤的合成 ETP，交易代碼為 CLAU。該產品透過持有 FalconX 發行的票據來獲得對 Anthropic 的合成敞口，相關票據與永續期貨掛鉤。除 1% 的年化管理費外，投資者還需承擔融資與資金成本。

ChainCatcher 消息，据 PRNewswire 報導，美股上市公司 Universal Safety Products（UUU）宣布將於 10月 19 日更名為 DeFi Capital Markets 並以新代碼"DCM"進行交易，未來將逐步停止原有產品業務，重點轉向資產代幣化、數字資產、做市，以及量化交易和區塊鏈金融市場。

ChainCatcher 消息，据 The Block 報導，Armada Acquisition Corp. II 股東已批准其與 XRP 財庫公司 Evernorth 的業務合併，為後者登陸納斯達克掃清關鍵步驟。該交易預計籌集約 3 億美元現金總收益，投資者亦以 XRP 實物出資。交易完成時，Evernorth 預計持有約 4.73 億枚 XRP。交易預計於 10 月 7 日完成，合併後公司擬自 10 月 8 日起以代碼 XRPN 交易。