PHP兩項高危漏洞CVSS評分均達9.2，慢霧建議Web3項目立即升級

慢霧安全團隊發佈報告稱，PHP 近期披露的 CVE-2026-109618 和 CVE-2026-109619 兩個高危漏洞，正對 Web3 行業鏈下基礎設施構成風險。兩項漏洞的 CVSS v4.0 評分均爲 9.2 分，攻擊者無需賬號密碼或 API Key，僅向暴露在公網的 PHP 服務發送構造請求，即可能以 Web 服務進程權限執行任意代碼。漏洞影響 PHP 5.4 至 8.5.11 的所有版本，且漏洞細節在官方補丁發佈前已泄露。亞馬遜威脅情報團隊在公開披露前 4 天已觀測到實際利用嘗試。慢霧威脅情報系統 MistEye 掃描顯示，在統計的 1488 個加密相關域名中，有 793 個帶有直接 PHP 指紋，佔比約 53.3%。受影響的鏈下設施包括 Web3 項目的前端頁面、API 接口、空投領取頁、運營後臺及託管錢包服務等。攻擊者若利用 PHP 漏洞攻陷項目網站服務器，可能篡改前端頁面並誘導用戶簽署惡意交易，從而盜取資產。官方已發佈 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，相關項目應升級至對應最新版。PHP 8.1 及更早版本已停止上游常規支持，應儘快遷移。無法立即升級時採取的臨時緩解措施只能降低特定攻擊路徑風險，應用補丁仍是徹底解決方案。