漏洞概况

慢雾安全团队发布报告，PHP 曝出两个高危漏洞 CVE-2026-109618 与 CVE-2026-109619，CVSS v4.0 评分均为 9.2，属严重级别。攻击者无需账号密码或 API Key，向公网暴露的 PHP 服务发送构造请求，即可以 Web 进程权限执行任意代码。

  • 影响范围：PHP 5.4 至 8.5.11 全部版本

  • 漏洞细节在官方补丁发布前已泄露，亚马逊威胁情报团队在公开披露前 4 天已观测到实际利用尝试


波及面

MistEye 扫描的 1488 个加密相关域名中，793 个带直接 PHP 指纹，占比约 53.3%。受影响环节包括前端页面、API 接口、空投领取页、运营后台及托管钱包服务。

慢雾提示：攻击者可篡改前端页面诱导用户签名恶意交易，直接盗取资产。链上合约无漏洞，不代表链下环节安全。

修复建议

官方已发布 PHP 8.5.12、8.4.27、8.3.36、8.2.35，相关项目应立即升级；PHP 8.1 及更早版本已停止上游常规支持，应尽快迁移。临时缓解措施仅降低特定攻击路径风险，打补丁才是彻底方案。